信息安全风险评估项目流程

1、信息平安风险评估工程流程一、售前方案阶段1.1、工作说明技术部配合工程销售经理以下简称销售根据客户需求制定工程解决方案，客户认可后，销售与客户签订合同协议，同时向技术部派发工程工单工程实施使用1.2、输出文档?XXX工程XXX解决方案?输出文档电子版、纸质版交付销售助理保管，电子版抄送技术部助理。1.3、考前须知² 销售需派发内部工单售前技术支持² 输出文档均一式三份下同二、派发工程工单2.1、工作说明销售谈下工程后向技术部派发工程工单，技术部成立工程小组，指定工程实施经理和实施人员。三、工程启动会议3.1、工作说明² 销售和工程经理与甲方召开工程启动会议，确定各

2、自接口负责人。² 要求甲方按合同范围提供?资产表?，确定扫描评估范围、人工评估范围和渗透测试范围。² 请甲方给所有资产赋值双方确认资产赋值² 请甲方指定平安评估调查访谈人员3.2、输出文档?XXX工程启动会议记要?客户提交?信息资产表?、?网络拓扑图?，由工程小组暂时保管，以供工程实施使用3.3、考前须知² 资产数量正负不超过15%；给资产编排序号，以方便事后检查。² 给人工评估资产做标记，以方便事后检查。² 资产值是评估报告的重要数据。² 销售跟客户沟通，为工程小组提供信息资产表及拓扑图，以便工程小组分析制定工程方案使用。

3、四、工程前期准备4.1、工作说明² 准备工程实施PPT，人工评估原始文档对象评估文档，扫描工具、渗透测试工具、保密协议和授权书² 工程小组与销售根据工程内容和范围制定工程实施方案。4.2、输出文档?XXX工程实施PPT?XXX工程人工访谈原始文档?XXX工程保密协议?XXX工程XXX授权书?4.3、考前须知² 如无资产表和拓扑图需到现场调查后再制定工程实施方案和工作进度安排。² 工程实施小组与客户约定进场时间。² 保密协议和授权书均需双方负责人签字并加盖公章。² 保密协议需工程双方参与人员签字五、驻场实施会议5.1、工作说明工程小组进

4、场与甲方召开工程实施会议工程实施PPT，确定评估对象和范围主机、设备、应用、管理等、实施周期工作进度安排，双方各自提出自身要求，工程小组要求甲方提供办公场地、打印机、接入网络等工程必备环境。与甲方签订评估保密协议、授权书漏洞扫描、人工评估、渗透测试等。实施过程中需甲方人员陪同。5.2、输出文档?XXX工程驻场实施会议记要?5.3、考前须知如前期未准备资产表与拓扑图，在此阶段工程小组进行调查视情况是否另收费。六、现场实施阶段6.1、工作说明² 按照工作方案和被评估对象安排实施进度。² 主要工作内容Ø 漏洞扫描主机、应用、数据库等Ø 人工评估主机、应用、数据

5、库、设备等Ø 渗透测试主机、应用等² 工程实施经理做好会议记要和日报，工程实施成员保存所有原始文档并妥善存档。² 现场实施局部完成后，双方召开阶段性总结会议如甲方有需求可对工程实施过程中发现的问题进行简要总结，输出简要总结报告6.2、输出文档?XXX工程XXX人工评估过程文档?XXX工程XXX漏洞扫描过程文档?XXX工程XXX渗透测试过程文档?XXX工程工作日报?XXX工程会议记要?6.3、考前须知² 假设遇到协调问题，双方负责人协调解决² 实施过程中如出现方案外问题，以会议形式商讨解决² 日报需工程双方负责人签字确认七、静态评估阶段

6、7.1、工作说明² 与甲方商定评估报告输出周期和报告内容² 工程小组依据评估结果分工进行报告输出、整理汇总，准备工程总结PPT和整改建议如客户要求那么输出整体加固解决方案，完成后提交公司工程质量评审小组审核，审核通过后提交客户。经客户认可后输出纸质文档。7.2、输出文档?XXX工程XXX人工评估报告?XXX工程XXX漏洞扫描报告?XXX工程XXX渗透测试报告?XXX工程平安评估综合报告?XXX工程整改建议书整体加固解决方案?XXX工程总结?PPT7.3、考前须知² 依据公司文档标准化体系输出文档电子版输出PDF格式² 统计数据要求完整、准确无误；

7、8; 解决方案与销售讨论后输出文档。² 工程实施人员对每份输出文档签字，预留甲方接口人员签字位。八、评估阶段验收8.1、工作说明工程实施经理和销售与甲方召开工程验收会议，讲解工程实施中发现的风险、隐患和威胁，与客户讨论解决方法视工程情况而定，双方验收工程成果输出的报告，对输出报告签字确认，并签订工程验收成果书。客户如有需求，那么对评估中发现的风险、隐患进行加固实施。8.2、输出文档?XXX工程验收成果书?XXX工程会议记要?九、平安加固实施9.1、工作说明平安加固参考平安加固工程流程9.2、输出文档?XXX工程整体平安加固方案?XXX工程XXX平安加固方案?会议记要?工作日报?9.3、考前须知工程实施双方对加固过程文档纸质签字确认十、平安加固验收10.1、工作说明针对已加固对象进行再次风险评