网络安全风险评估报告编制细则

网络安全风险评估报告编制细则一、总则1.1编制目的风险评估报告是网络安全整改决策、预算申报与责任追溯的核心依据。一份不合格的报告——只罗列漏洞清单、无风险量化、无整改优先级——会直接导致管理层误判资金投向，使高风险漏洞与低风险漏洞获得同等甚至倒置的资源。本细则用于统一报告结构、风险判定口径与质量验收标准，确保不同评估人员产出的报告可横向比较、可独立复核。1.2适用范围•适用于本单位（或受托方为委托单位）开展的信息系统网络安全风险评估项目，覆盖定级对象为二级、三级的各类信息系统。•适用于新建系统上线前评估、年度周期性评估、重大变更后评估及事件驱动的专项评估。•渗透测试专项报告、等保测评报告不适用本细则，但其结论可引用。1.3编制依据•《中华人民共和国网络安全法》•《中华人民共和国数据安全法》•GB/T20984-2022《信息安全技术信息安全风险评估方法》•GB/T22239-2019《信息安全技术网络安全等级保护基本要求》•GB/T28448-2019《信息安全技术网络安全等级保护测评要求》•委托方签订的评估服务合同及评估方案（方案经委托方书面确认后方可作为报告依据）二、组织与职责评估报告的质量问题，多数源于角色缺位而非技术能力不足——没有独立的复核人，报告就退化为评估员个人水平的快照。各方职责必须在项目启动时书面明确。角色职责交付物时限项目负责人把控报告结构完整性、风险结论一致性，对外提交报告定稿报告、项目总结全程评估工程师资产核查、漏洞扫描、访谈记录、原始数据归档检测记录、漏洞明细现场结束后3个工作日内提交原始数据报告撰写人按本细则撰写报告初稿报告初稿原始数据齐全后5个工作日内独立复核人（不得由撰写人兼任）核对风险值计算、漏洞证据链、结论与数据一致性复核意见单收到初稿后3个工作日内委托方接口人提供资产清单、网络拓扑、配合访谈；对报告事实性内容确认事实确认回执收到送审稿后5个工作日内委托方拒绝提供的关键信息（如部分系统不开放扫描），必须在报告「评估范围与限制」章节中如实列明，不得回避。三、报告结构要求报告按以下九章编排，章节顺序与编号不得自行增删合并。每章的具体要求见第4至第10节。1.概述（项目背景、评估目标、依据、范围与限制）2.评估对象概况（系统架构、资产清单、网络边界）3.评估方法与过程（方法说明、工具清单、时间线）4.资产识别与赋值5.威胁识别与赋值6.脆弱性识别与验证7.风险分析与判定8.整改建议与优先级9.结论与附录四、概述章节编写要求4.1评估范围与限制范围描述必须落到「可核对的边界」上，禁止写「相关系统」：•逐台列出评估覆盖的服务器、网络设备、安全设备数量及IP段，与委托方签字确认的资产清单编号对应。•明确评估基准日（数据采集截止日期），基准日之后发生的变更不在本次结论覆盖范围内。•列明评估限制条款，每条写清限制内容与对结论的影响。示例：「应用层源码未纳入白盒审计，应用漏洞结论基于黑盒测试结果，可能存在未发现的逻辑漏洞」。4.2评估目标按委托目的区分三类写法，不得混用：•上线前评估：目标为出具「可上线/整改后上线/不可上线」三选一结论。•周期性评估：目标为对比上期报告，量化风险变化趋势。•专项评估：目标为回答特定问题（如某次勒索事件后的横向移动路径排查），其余常规内容可简化。五、识别与赋值要求5.1资产识别与赋值资产按保密性、完整性、可用性三属性分别赋值（1~5），综合值为三者加权最大值原则判定（按GB/T20984-2022推荐方法，权重方案须在报告中写明，常用方案为C:I:A=1:1:1取最大值）。赋值必须有判据，禁止拍脑袋：赋值可用性判据（示例）5中断30分钟内造成直接经济损失100万元以上或重大社会影响4中断2小时内造成10万~100万元损失3中断8小时内影响核心业务办理2中断1个工作日内影响辅助业务1中断1个工作日以上，影响可忽略金额阈值须由委托方业务部门书面确认，未经确认的赋值在报告中标注「待确认」。数据库服务器、域控、堡垒机等具有横向移动跳板价值的资产，即使业务等级一般，综合值不得低于4——原因是其失陷后攻击者可横向扩散至全内网，风险放大效应必须体现在赋值中。5.2威胁识别与赋值威胁来源按「威胁主体、动机、途径、频率」四要素描述，赋值依据按以下优先级取用：优先使用本单位安全设备（态势感知、WAF、防火墙日志）近12个月的实际告警统计；无本地数据时，引用行业威胁情报统计并标注来源；两者皆无时按资产等保级别采用默认值（三级系统威胁值取4，二级取3），并在报告中声明数据局限性。5.3脆弱性识别与验证脆弱性分技术与管理两类采集，核心要求是每条脆弱性必须有证据：•技术脆弱性：漏洞扫描报告原始导出文件、渗透测试截图（含时间戳与目标IP）、弱口令测试记录。•管理脆弱性：访谈记录（访谈人、被访谈人岗位、日期）、制度文档缺失清单、现场核查照片。•漏洞验证：高危漏洞（CVSS≥7.0）必须经人工验证排除误报后方可计入风险计算；验证方式（POC复现/安全回显确认/仅版本比对推断）逐条写明。仅凭版本号判定的漏洞在报告中标注「未验证，存在误报可能」。六、风险分析与判定要求风险判定是报告的决策核心。风险值计算公式为：R采用GB/T20984-2022推荐的矩阵法或相乘法时，须在报告中完整给出所用矩阵表，禁止只给结论不给出计算过程。每项风险按「风险值→风险等级→判定依据」三段式呈现，等级划分及处置要求如下：风险等级风险值区间（相乘法示例）处置时限要求高R7日内启动整改，30日内完成中1090日内完成整改低R纳入年度整改计划或接受风险接受风险的条件必须写明三点：残余风险量化值、补偿性控制措施（如「该漏洞因系统停产无法修补，已通过网络隔离+白名单管控补偿」）、风险接受签字人（委托方信息系统责任人签字）。无签字的接受风险视为未处置。每项中高风险须附风险演化叙事，格式为「起因→传播途径→触发条件→最终后果」，并据此标出可阻断点。示例：边界VPN存在未修复的认证绕过漏洞（起因）→攻击者直接获取VPN会话进入内网（传播）→内网服务器存在弱口令且未做主机间访问控制（触发）→核心数据库被加密勒索（后果）→阻断点：修复VPN漏洞或启用多因素认证、堡垒机强制代理访问、服务器间最小化放通策略。七、整改建议要求整改建议分「优先」「备选」「禁选」三段式给出，并附成本量级与责任建议，禁止只写「加强防护」：•优先方案：示例——「修补Weblogic反序列化漏洞至官方14.1.1.2200版本，停机窗口约2小时，由应用运维组执行，完成后复测」。•备选方案：若短期无法停机——「在WAF配置针对该漏洞利用路径的虚拟补丁规则，并在30日内完成正式补丁」。•禁用方案：「严禁关闭WAF或放通公网直连应用端口以‘绕开’误拦截——该做法等于移除虚拟补丁，漏洞立即恢复可利用状态」。整改优先级排序必须与第6节风险等级对应：高风险项排序不得低于中风险项，若存在业务原因倒序（如高风险项涉及停机冲突），须单独说明并经委托方确认。每条整改建议须明确复测方式与判定标准（如「复测标准：同漏洞扫描器同策略下不再报出该漏洞ID，且人工验证利用失败」）。八、报告质量验收标准报告在提交前须通过以下检查，全部满足方可提交委托方：1.完整性：九章齐全，资产清单、漏洞明细、矩阵表、整改计划四个附件齐全。2.一致性：摘要中的风险数量与第7节逐项列表数量一致；整改优先级与风险等级无无解释的倒挂。3.可追溯：每条风险结论可回溯至原始证据（扫描报告页码/截图编号/访谈记录编号）。4.量化合规：全文无「加强」「做好」「尽快」类空话条款；时间要求、阈值均为具体数值。5.复核签认：独立复核人在复核意见单上签字；复核意见的处理结果逐条记录（采纳/不采纳及理由）。出现以下任一情形，报告退回重写：风险结论无计算过程支撑；高危漏洞未经人工验证直接计为确认风险；接受风险无签字。九、版本、归档与保密•报告版本号规则：V主版本.次版本（初稿V0.1，送审稿V1.0，定稿按确认轮次递增），每次修订在版本记录页写明修订人、日期、修订内容。•归档要求：定稿报告（纸质+PDF）、原始扫描数据、访谈记录、复核意见单归入同一项目档案，保存期限不少于3年（等保三级对象建议6年，覆盖一个等保测评周期）。•保密管理：报告密级默认「内部敏感」，仅限委托方信息系统责任部门与评估项目组查阅；纸质版借阅登记，电子版通过委托方指定渠道传输，严禁通过公共网盘、个人邮箱传输——报告中包含的漏洞细节一旦外泄，等于向攻击者提供攻击地图。•对外披露：报告数据用于监管报送、招标、宣传时，须经委托方书面批准并删除IP、拓扑、漏洞ID等敏感细节。十、附件附件A：漏洞及整改跟踪表（样表）编号资产/IP漏洞名称CVSS风险等级验证方式整改措施责任部门整改时限复测结果复测日期R-00110.x.x.xWeblogic反序列化9.8高POC复现升级补丁+WAF虚拟补丁应用运维组30日内待复测R-00210.x.x.x弱口令（数据库）8.1高登录验证口令策略改造系统管理员15日内附件B：报告编制检查表（复核人使用）检查项判定标准结果九章结构齐全与第3节目录逐项核对□通过□不通过风险值计算可复算抽取5条风险，按报告给定矩阵独立复算□通过□不通过高危漏洞验证记录抽取全部高危项核对验证截图/记录□通过□不通过空话条款扫描全文检索「加强、做好、尽快、及时、适当」□无□有（列出）接受风险签字逐条核对签字人