[发明专利]一种信息安全风险评估方法

权利要求书

1.一种信息安全风险评估方法，包括以下步骤：

步骤一：评估前对参与该项目的成员信息进行汇总，并对工具包访谈表单和流程框架图下的所有材料进行统一收集存档；之后再对网络硬件和网络环境需要了解记录，制定初步风险评估方案；如轧钢操作车间的相关信息安全，首先需要对参加生产的班组成员进行签订保密合同，并在生产前对当班需要生产的钢坯成分进行了解，指定合适的轧制道次和流程之后再将轧制规程上传系统；

步骤二：进入技术评估阶段，需要是基线评估，即对主机、网络设备、数据库中间件进行风险扫描；应用评估，即安全功能的日常维护；最后是渗透测试，即对业务系统、APP程序和微信程度进行检测；

即硬件上初轧机和四辊精轧机的辊子的选材，网络设备及控制轧机每个道次下压厚度的一整套控制系统，产生的下压记录数据存入数据库，对每一块成品钢板都实现建档立卡做到有迹可循；

步骤三：进行管理评估：即物理环境、通信与操作管理、访问控制、系统开发与维护以及业务的连续性进行系统的评估以促成运行平稳的基本保障；其次进行组织管理评估，制定安全策略，维持组织安全，对资产进行分类控制，选用人的时候充分考虑信息安全和物尽其用原则；即作业现场的调度，从加热炉到轧制阶段，再到后期的精整阶段做到调度有序，每一块钢板的具体信息应实时监控，作业长为第一责任人进行生产安全评估；

步骤四：做最终评估报告；首先需列出需要的资产分布，列出脆弱性分布及综合威胁的分布；即班后作评估报告，总结一天的生产经验，对生产后的设备、系统以及数据库信息进行安全审查再进行交接。

2.根据权利要求1所述的一种信息安全风险评估方法，其特征在于，所述步骤二中的主机风险扫描即支持云上云下主机资产梳理，并对主机进行脆弱性扫描，包括漏洞风险、主机服务可用性、端风险等，帮助企业发现影子资产、影子端口，为客户输出全面的资产分析报告和脆弱性报告，并提供专业的修复建议。

3.根据权利要求1所述的一种信息安全风险评估方法，其特征在于，所述步骤二中的关于中间件、固件扫描具体的中间件可帮助用户灵活、高效地开发和集成复杂的应用软件，一旦被黑客发现漏洞并利用，将影响上下层安全；终端设备固件检测，帮助客户解决各种终端固件最底层的安全隐患。

4.根据权利要求1所述的一种信息安全风险评估方法，其特征在于，所述步骤三中的资产安全方面，指定资产表以及部署资产梳理工具，之后再持续进行监测更新，保持最新资产表实现资产管理合规。

5.根据权利要求1所述的一种信息安全风险评估方法，其特征在于，应对所述步骤四中的综合威胁主要做到以下四点，第一点：内网威胁分析与应急即失陷主机分析与应急报告，之后再部署诱饵，最后即可查出内网威胁及时处置内网失陷主机；第二点：服务器异常分析与应急，产生服务器异常分析与应急报告，之后安排技术人员及时处理入侵事件；第三点：攻击面分析，产生边界攻击面分析报告，减少受攻击面、减少威胁；第四点：应急演练，产生应急演练方案，提交应急演练报告，应检验应急预案，训练应急技能。

6.根据权利要求5所述的一种信息安全风险评估方法，其特征在于，所述步骤四中的威胁管理在大环境下需要做到内部网络攻击检测合规，网络边界控制合规，安全事件处理合规，应急演练合规。

7.根据权利要求1所述的一种信息安全风险评估方法，其特征在于，所述步骤一种的轧制规程包括钢坯进入初轧机前的温度、尺寸，进入初轧机的方式，轧制多少道次之后进行转钢，初轧机的每个道次的下压厚度，之后进入精轧机前的钢板温度，第几道次轧制之后进行除磷以及放行，每个道次的下压厚度，矫直机选择的下压力以及矫直速度，选择冷却方式等规程输入系统。