安全评估 · 安全态势审查
服务类别: 网络安全清楚了解您的安全态势，以及应该先修复什么
我们审查贵机构如何治理、保护和恢复其系统与数据，将发现的情况与公认的基线控制措施进行对照，并为您提供一份按优先级排序、通俗易懂的计划。
概览
- 服务内容
- 一次性、全面审查机构层面和技术层面的安全态势，并提供按优先级排序的整改计划
- 适合对象
- 员工约5至200人、不清楚自身最大安全漏洞在哪里的机构
- 审查领域
- 治理与政策、资产清单、身份与MFA、终端、电子邮件、备份与恢复、网络边界以及事件应对准备
- 交付成果
- 发现报告、按风险排序的整改路线图、管理层摘要，以及一次讲解会议
- 不包含
- 渗透测试、漏洞利用、代码审查、物理安全测试和正式审计意见
- 计价方式
- 根据规模和复杂程度收取固定费用，以拟定价格提出并以书面报价确认
- 如何开始
- 预约咨询以商定范围，或订购针对性评估，例如 Microsoft 365 安全评估
什么是安全评估
安全评估是一次结构化的审查，检验贵机构在人员、流程和技术各方面管理网络风险的情况。它重在广度而非深度：谁负责安全决策、有哪些政策、账户和设备如何保护、电子邮件如何过滤、备份能否恢复，以及发生事件时是否有人知道该怎么做。
我们以加拿大网络安全中心面向中小型机构的基线控制措施、CIS Controls 实施组1（IG1）的防护措施以及 NIST CSF 2.0 的各项职能作为参考依据。这让审查具有一致的结构，也便于您长期比较进展。
这与漏洞评估不同——漏洞评估是扫描系统中的具体技术弱点；也与渗透测试不同——渗透测试会尝试利用这些弱点。安全态势审查往往会建议将其中一项作为下一步，并另行界定范围。
机构通常在什么时候要求评估
没有可以起步的基线
管理层希望投资安全，但对已有哪些措施、最大的漏洞在哪里缺乏客观认识。
保险或客户问卷
续保表格或客户的尽职调查要求提出了一系列详细问题，却没有人能有把握地回答。
更换服务商或管理层
新的IT服务商、业主或高管希望对接手的风险有一个独立的看法。
虚惊一场之后
一次网络钓鱼事件、可疑登录或笔记本电脑丢失，让人担心还有哪些地方可能暴露在风险之中。
我们检查的内容
治理与政策
安全角色、可接受使用政策、访问审批、供应商风险，以及政策是否反映实际做法。
资产与数据清单
有哪些设备、云服务和数据存储库，归谁负责，以及敏感信息存放在哪里。
身份与访问
MFA覆盖情况、管理员账户、条件访问、访客访问、密码策略和员工离职处理流程。
终端与补丁
防护覆盖、加密、更新合规情况、本地管理员权限，以及已不受支持的操作系统。
电子邮件与协作
邮件过滤、SPF、DKIM和DMARC、外部共享设置以及邮件转发规则。
备份、恢复与事件应对准备
备份覆盖范围、隔离情况和恢复测试，以及是否有事件响应计划和联系人名单。
评估范围
书面报价会列明包含的系统、地点和访谈。
包含
- 与管理层以及目前负责IT的人员进行访谈
- 以只读方式审查 Microsoft 365 或 Google Workspace 的安全配置
- 审查终端防护、补丁和加密方面的报告
- 审查备份配置和近期的恢复记录
- 在获得访问权限的情况下审查防火墙和远程访问配置
- 将发现的问题对应到基线控制措施并评定风险等级
- 整改路线图和管理层摘要，以及一次讲解会议
除非另行界定范围，否则不包含
- 渗透测试或任何利用漏洞的尝试
- 对每台设备进行凭据扫描（请参阅漏洞评估）
- 应用程序源代码或Web应用安全测试
- 物理安全或社会工程测试
- 正式审计意见、合规证明或认证
- 关于隐私或数据泄露义务的法律意见
我们常评估的系统和参考框架
- Microsoft 365、Entra ID、Intune 和 Microsoft Defender 的配置
- Google Workspace 管理和安全设置
- Windows 和 macOS 终端设备群以及 Windows Server
- 企业防火墙、VPN和远程访问网关
- 云端和本地备份平台
- 以加拿大网络安全中心基线控制措施、CIS Controls IG1 和 NIST CSF 2.0 作为参考框架
适合哪些机构
首次投资安全
希望把钱花在刀刃上，需要一份优先级清单而不是销售说辞的机构。
受监管或高度重视保密的公司
需要为客户、保险公司或自己的顾问准备证明材料的专业服务、医疗和金融团队。
计划申请 CyberSecure Canada 的机构
正在考虑 CyberSecure Canada 计划，希望在作出决定前先对照基线控制措施了解差距的团队。
您将带走什么
- 用通俗语言呈现的、客观的安全态势评估
- 按风险和工作量排序的发现，方便您安排投资顺序
- 支持回答保险和客户问卷的依据
- 一个可用来衡量今后进展的基线
- 关于是否值得进一步开展更深入测试的明确建议
评估如何进行
界定范围
我们商定包含哪些系统、地点和人员，并安排只读访问权限。
访谈与数据收集
与管理层和IT联系人进行简短访谈，随后导出配置并收集报告。
分析
将发现的问题对应到基线控制措施，并按可能性和业务影响评定等级。
报告与路线图
您会收到发现报告、管理层摘要以及按先后顺序排列的整改计划。
讲解会议
我们向您的管理层汇报结果并解答问题；之后的整改可以由您的团队、我们或其他服务商完成。
评估选项
固定费用以拟定价格提出，并以书面报价确认。
全面安全评估
即本页介绍的全面安全态势审查，范围根据您的规模和地点确定。
针对性评估
如果您已经清楚关注的领域，可选择 Microsoft 365 安全、终端安全、备份与恢复或网络健康评估。
基础设施健康检查
范围更广的运营审查，除安全外还涵盖可靠性和生命周期风险。
常见问题
安全评估和渗透测试是一回事吗？
不是。我们对照基线控制措施审查配置、做法和相关证据，不会尝试攻击系统。如果评估结果显示有必要，我们可以协助您与专业公司界定渗透测试的范围。
评估之后我们就合规或获得认证了吗？
不会。评估只是找出与公认控制措施之间的差距。任何合规认定或正式评估都需要由您的审计师和顾问另行处理。
评估之后我们必须购买托管服务吗？
不必。报告归您所有，路线图可以由您自己的员工执行，也可以由我们根据另行报价执行，或交给其他服务商。
需要多长时间？
时间取决于机构规模以及访问权限和访谈能多快安排妥当；具体日程会在报价中确认。
会影响员工的日常工作吗？
影响很小。大部分工作通过只读访问和报告完成，另外会配合您团队的时间安排几次简短访谈。