阿里云风险识别和检测最佳实践
阿里云全面风险评估和识别服务
阿里云为企业客户提供云上全面的风险评估和识别检测服务，具体包括如下内容：
资产识别和分析：对信息系统业务及其关键资产进行识别，需要详细识别核心资产的安全属性，分析关键资产在遭受泄密、中断、损害等破坏时对系统所承载的业务系统所产生的影响。
威胁识别和分析：通过威胁调查、取样等手段识别被评估信息系统面临的威胁源，及其威胁所采用的威胁方法，并重点分析威胁的能力和动机。
脆弱性识别和分析：识别云上信息系统的部署架构，配置及安全防护等方面的脆弱性。对信息系统的设计方案、安全解决方案等进行静态分析，识别体系结构中存在的脆弱性。采用安全扫描，配置审核等方式识别评估范围内的云上资产的脆弱性。分析信息系统及其关键资产所存在的各方面脆弱性即基础环境脆弱性、体系结构脆弱性、技术脆弱性、安全管理脆弱性，并根据脆弱性被利用的难易程度和被利用成功后产生的影响进行分析。
安全措施识别和分析：通过问卷调查、人工检查等方式识别被评估信息系统的有效对抗风险的防护措施对安全措施所采取后的有效性进行分析，分析其安全措施对防范威胁、降低脆弱性的有效性。
综合风险分析：分析信息系统及其关键资产将面临哪一方面的威胁及其所采用的威胁方法，利用了系统的何种脆弱性，对哪一类资产，产生了什么样的影响，并描述采取何种对策来防范威胁，减少脆弱性，同时将风险量化。
风险评估原则
关键业务原则： 被评估组织的关键业务是信息安全风险评估工作的核心，涉及这些业务的相关网络与系统是评估工作的重点。
可控性原则：
服务可控性：评估方应先与用户进行评估沟通会议，介绍整个评估服务的工作流程，明确用户需要提供的工作内容，保障整个安全评估服务工作的顺利进行；
人员与信息可控性：所有评估的工作人员均应签署保密协议，以保证项目信息的安全；应严格管理好工作过程中产生的中间数据和最后的结果数据，未经授权不得泄露给任何单位和个人；
过程可控性：应按照项目管理要求，成立项目实施团队，项目组长负责制，达到项目过程的可控；
工具可控性：安全评估人员所使用的评估工具应该事先通告用户，并在项目实施前获得用户许可，包括产品本身、测试策略等。
最小影响原则： 对于类似在线的业务系统的风险评估，应基于最小影响原则，即首要保障业务系统运行的稳定，而对业务系统进行攻击性测试时，需沟通用户并做测试内容的应急备份，同时选择不在业务的高峰时间进行。
保密性原则： 在风险评估实施前，评估人员应当与被评估系统的项目负责人签署书面形式的保密协议。
风险评估参考标准
常见的风险评估参考标准有：
GB/T 20274-2006 《信息系统安全保障评估框架》
GB/T 20984-2007 《信息安全风险评估规范》
GB/T 18336-2001 《信息技术安全性评估准则》
GB/T 22239-2008 《信息系统安全等级保护基本要求》
阿里云-企业上云安全指引
风险评估过程
主要分为线上评估实施、数据分析整理、风险评估报告撰写三个阶段：
线上评估：本阶段主要完成线上评估工作的实施，即通过资产调查、安全基线扫描、漏洞扫描、渗透测试、人员访谈等方式，了解业务系统的安全现状，为风险分析提供资料。现状评估阶段主要的工作任务包括人员访谈、安全基线扫描、漏洞扫描等。
数据分析：本阶段主要对评估阶段采集的数据进行分析、整理，为风险评估报告的撰写提供依据。
报告撰写：本阶段主要完成风险评估报告的撰写、修订。根据数据分析的结果撰写评估报告，并针对业务系统存在的安全风险、安全隐患提供修复建议。与负责人进行沟通，对评估报告进行修订。