目录
- 网络安全风险评估项目流程和工作内容
- 网络安全风险评估技术应用-ICT供应链安全威胁识别
- 网络安全风险评估技术应用-人工智能安全风险分析
网络安全风险评估项目流程和工作内容
在真实项目当中做风险评估，第一步前期准备，第二步是评估方案的设计与论证，第三步评估方案的实施，第四步评估报告的撰写，第五步评估结果的评审与认可，评估方案的设计，评估报告更偏重于实际一点
评估工程前期准备，包括确定风险评估的需求目标。我们要评估的对象，要确定评估的范围，评估的颗粒度，评估的时间等等，然后要签订合同和保密协议，因为我们是做网络安全风险评估，里面会用到一系列跟攻击相关的方法，比如说渗透测试，会模拟黑客攻击网络。如果这些东西都没有，万一客户把你告上法庭，就难顶了
接着成立评估工作组，选择评估模式，评估模式有三种，第一种是客户自己评估，第二种是相关部门、上级主管部门的评估，第三个是第三方评测专业机构的评估
第二步是评估方案的设计与论证，由乙方把相应的方案设计出来，设计出来之后，组织论证，论证双方都要参加，客户和我们的乙方都要参加，这是方案的设计与论证。确保我们的评估方案没问题，听取各方的意见，然后修改我们相应的方案，直至论证通过，大家都同意或者多数人同意
确定了我们的方案之后，后面就是方案的实施，包含评估对象的基本情况调查、安全需求的挖掘以及确定具体的操作步骤
评估实施过程中应尽量避免改变系统中的任何设置或者备份系统原有的配置。就是在评估当中，你不能去改变软件的设置，参数的设置，还有不能随意的去备份人家的配置或者里边的一些关键信息。不然的话会造成数据的泄密，并且要书面记录你操作的过程，还有相关的一些数据
工作实施必须要有工作备忘录，工作日志，而且我们参与评估的实施人员，应该是至少两个人。必须要得到领导的签字批准，将来出了问题，他要出来担责的，所以一般，特别是一些重大的部门，重要的系统，要做安全评估，领导会多次叮嘱你，小心行事，不要乱搞
评估方案的撰写，我们评估的整个方案已经运行，按照我们原有计划运行下来，就进行报告撰写，根据我们预先设定的步骤，根据我们实施的一个情况和收集到的一些信息，可能有资产评估的数据威胁，数据脆弱性的一些数据
然后我们撰写评估报告，评估报告是风险评估结果的一个记录文件。也是组织实施风险管理的主要依据，对风险评估活动进行评审和认可的一个基础资料，因此报告必须要有据可查。
你做完之后有哪些问题，一二三四五你要写到报告里面去，报告的内容包含的东西很多，包含我们风险控制的措施，建议残余风险的描述，报告一般由绪论、安全现状，资产评估，脆弱性评估，安全管理评估，评估总结和建议等等一系列的部分组成报告，报告输出就是一个Word文件，然后这个Word文件，说白了它还有一些标准的格式。建议你参考这个格式去写，这个报告最终是要给客户的
输出报告之后，有些时候直接向客户提交，这个项目基本上就结束了，但有些时候会有结果的一个评审和认可，特别是一些大项目，比如说花了300万，做一个风险评估，你不能说输出一个word就完了，还有一个评审的过程，一般情况，是要召开一个工作会议，在工作会议上，我们相关的评估人员，会出一个项目的负责人，然后把这些评估报告做一个ppt的模式，分析网络中经过我们的评估，一共有多少个漏洞，这些漏洞的风险等级怎么样，我们建议怎么去处理等等，相当于会有一个正式的汇报，这个汇报由客户的领导，甲方的一些网络中心的工作人员参与。经过这么一汇报，客户觉得OK没问题，那你的工作基本上就完了，后续你移交相应的这些资料，给客户备案，就OK了，有些时候还会配合客户去整改。
如果在我们评审里边，客户提了一堆问题，或者他对你的这个工作不是特别满意，哪些不满意一二三四五让你去整改，整改完之后你重新组织这种汇报，然后下一次没问题之后我们再进行移交
这是最后一步评审结果的评审，评估结果的一个评审与认可。它是最高管理层或者其委托机构应召开评估工作结束会议，总结评估的工作对风险评估活动进行评审。评估认可是单位最高管理者或上级主管机关对风险评估结果的验收，也是这次风险评估活动结束的一个标志。绝大部分情况是做一个PPT的汇报。
网络安全风险评估技术应用-ICT供应链安全威胁识别
ict供应链风险管理的目标，包含完整性，保密性，可用性和可控性，这几个特性虽然是标准的CIA特性，但是他们在不同的领域，他们的表述形式可能有所差异，比如说完整性，在ict的供应链里面它确保的是在供应链所有环节，产品，系统，服务以及包含的组件，部件，元器件，数据等等不被植入、篡改，替换和伪造，完整性说白了就是不被修改。
植入木马是修改，篡改我的数据也是修改，替换伪造都是修改，保证我的任何东西都不被修改，这就是完整性
第二个是保密性，保密性就是我们ict供应链上传递的一些信息。不被未授权的获取，不经未授权的读取，只要基于保证它的机密性、可用性，不会被拒绝服务
第四个可控性就是我们要有对产品服务或者供应链的控制能力，现在我们国家在高端芯片这块没有可控性
ict供应链主要面临恶意篡改、假冒伪劣、供应链中断、信息泄露或违规和其他威胁，这五类安全威胁
工控系统，它的脆弱性识别，主要在四个方面，平台硬件、平台软件、平台配置和平台管理
比如说我们的工控系统，早期很多都是西门子的，脆弱性或者风险还挺大的，做工控我们国家反正比芯片要好一些，但是高端的，还是有些问题，比如说一些数控机床还是要进口，然后平台的软件就是硬件都是要配一些软件联合去使用
网络安全风险评估技术应用-人工智能安全风险分析
第一个是训练数据的安全。人工智能依赖于我们的训练数据，若训练数据被污染，可能导致人工智能它决策的一个错误
进行大数据分析，首先要有大数据，你大数据都有问题，分析出来的结果肯定是有问题的
第二个是人工智能算法安全的分析。在数学领域、计算机领域，很多算法其实都是国外的，但我们国家也搞了自己国密的整套算法SM1到SM4，然后还有一个SM9
第三个是系统，人工智能系统代码实现的风险。因为人工智能系统和算法都依赖于软件编程，如果你底层全是国外给你写的软件，在国家的一些核心机密或者是军事上用，肯定是有风险的，所以这是代码风险，接着是技术滥用的风险。人工智能技术过度采集个人的数据或者自动学习一些推理服务，导致隐私泄露的风险增加。人工智能反正有好有坏，你过度的去采集就会造成隐私泄露。
举个例子，我们大家用的输入软件输入法，可能你用qq输入法，搜狗输入法，它会采集你的数据，采集数据有个好处，就是你下次比如打一个wm，就是我们经常打的，它下次自动就输入这个汉字，能够方便你的生活，提高你的输入效率，但是在某种意义上来讲，是不是泄露了你的隐私，只要你一年或者两年使用某一个输入法，你的一些隐私基本上它全部掌握，这是挺可怕的
第五个，高度自制智能系统，导致社会安全的风险，比如说一些自动驾驶，无人机等等，智能系统的非正常运行可能会危害人的生命财产安全