网络风险评估

网络风险评估是一种结构化评估，根据范围内的资产、威胁及漏洞对贵组织的网络风险进行评分。评估工作流将引导您完成四个步骤——详细信息、范围界定、评分与结果——并生成整个资产组合的固有或残留风险评分全景图。

评估仅可在获核准之前编辑。一旦获得核准，评估即处于只读状态。

网络风险评估列表

网络风险评估页面显示贵组织中的所有评估及其当前状态。

评估状态

状态描述
草稿评估已创建，但尚未推进至范围界定阶段。
范围界定评估当前处于范围界定步骤。
分数评估当前处于评分步骤。
逾期评估已超过截止日期但尚未获得核准。
已审批评估已获核准，处于只读状态。

创建网络风险评估

若要创建网络风险评估，请执行以下步骤：

  1. 在 平台主页 页面 (www.diligentoneplatform.com) 中，选择 资产管理器 应用程序以将其打开。

    如果您已经进入 Diligent One，可以使用左侧导航菜单切换到资产管理器应用程序。

  2. 在左侧导航栏中，选择网络风险管理 > 网络风险评估。
  3. 选择创建新的网络风险评估。
  4. 使用页面顶部的选项卡完成评估工作流的各个步骤。有关各步骤的详细说明，请参阅下文各分节。

步骤 1：详细信息

详细信息选项卡记录评估的元数据与配置。

域描述
评估方法定性评估。风险采用“影响 × 可能性”评分，其中“影响”由资产关键程度决定，而“可能性”由“漏洞严重程度 × 威胁严重程度”决定。这将生成 1 至 125 之间的分值，并映射至相应的风险区间（极低、低、中、高、极高）。此字段为只读字段。
评估类型选择本次评估分值计入固有还是残留风险评分。固有评分反映采取控制措施之前的风险；残留评分反映采取控制措施之后的风险。
评估说明必填。输入此评估的背景和范围。使用此字段向审阅者说明本次评估的目的、边界或任何特殊的上下文背景。AI 评分代理在对情景评分时，也会使用这些说明。
附件可选。上传支持文档，例如渗透测试结果、数据泄露报告或其他安全文档。支持的格式：PNG、JPG、PDF、XLS。最大文件大小：17 MB。

选择转到范围界定进入下一步，或直接选择范围界定选项卡。

步骤 2：范围

您可以在范围界定选项卡中选择要纳入本次评估的资产。所有关联数据——网络风险、威胁、漏洞、控制措施及组织单位——都将根据所选资产的关联关系预先填充。

  1. 使用资产选项卡选择要纳入的资产。使用筛选器和列来细化资产列表。
  2. 审阅网络风险、威胁、漏洞和控制措施选项卡上的预填充条目。这些项目将根据您所选资产的关联关系自动包含在内。

范围界定选项卡顶部的汇总卡片显示了本次评估在可用总数中所纳入的条目数量，例如 10 / 20 项网络风险。

说明

在初始版本发布后，您将能够从范围界定中排除单个网络风险、威胁、漏洞类别及控制措施，而无需移除关联资产。

选择转到评分进入下一步，或直接选择评分选项卡。

步骤 3：分数

您可以在评分选项卡中为本次评估中的网络风险情景评分。每个网络风险可以有多个情景，每个情景都将单独评分。

评分公式

每种情景的网络风险评分的计算公式如下：

  • 网络风险评分 = 影响 × 可能性
  • 影响 = 资产关键程度
  • 可能性 = 威胁严重程度 × 漏洞严重程度

分值范围为 1 至 125，并映射至相应的风险区间。选择查看评分等级以查看完整的评分等级参考。

AI 评分

选择开始 AI 评分，让 Diligent Scoring AI 自动为评估中的所有情景评分。AI 会使用评估说明与上传的文件，并分析以下内容以确定每个情景的威胁严重程度与漏洞严重程度：

  • 威胁类别及漏洞类别
  • 关联至该资产的控制措施
  • 发现项与 CVE

AI 评分完成后，每个情景都会显示一个置信度评分，表明 AI 对其评估结果的确定程度。审阅所有低置信度情景，并在需要时覆盖 AI 评分。

覆盖 AI 评分

若要审阅或覆盖特定情景的 AI 评分：

  1. 选择情景名称以将其打开。
  2. 审阅由 AI 生成的评分依据。
  3. 根据需要调整威胁严重程度、漏洞严重程度或影响值。网络风险评分会自动更新。
  4. 选择保存更改。

聚合方式

选择如何聚合单个网络风险下多个情景的评分：

  • 最高值：最高情景评分用作网络风险评分。
  • 平均值：采用所有情景评分的平均值。

选择审阅结果进入最后一步，或直接选择结果选项卡。

步骤 4：结果

结果选项卡显示评估的评分输出。

  • 网络风险热图：显示按“影响与可能性”标绘的所有范围内网络风险。在固有和残留视图之间切换。
  • 按网络风险评分划分的资产：显示范围内资产按风险评分范围分布的圆环图。
  • 网络风险表格：列出各项网络风险及其影响、威胁严重程度、漏洞严重程度、可能性、网络风险评分，以及启动缓解计划的链接。
  • 资产表格：列出各项范围内资产及其网络风险评分、关键程度级别、机密性、完整性及可用性评级。

核准评估

当您对评分结果确认无误后，选择核准评估以定稿评估。一旦核准：

  • 评估状态变更为已核准。
  • 评估将变为只读状态，无法再编辑。
  • 这些评分将计入概述页面上呈现的整体网络风险态势。

基于结果启动缓解计划

在结果选项卡中，选择任意网络风险旁的 + 缓解计划，为该风险创建缓解计划。如需了解详细信息，请参阅缓解计划。