了解信息系统安全测评
根据本次安全核查或合同测评目标，确定系统边界、适用要求和责任分工。结合文档、访谈与实际配置检查技术及管理控制，整理有证据的差距和整改建议，再按约定复核实际运行状态。
系统上线前安全评估
系统上线前，即应用系统（业务系统）正式投入生产运行之前；安全评估，即一种利用大量安全性行业经验和先进安全技术相结合的综合分析和评价手段。
顾名思义，系统上线前，即应用系统（业务系统）正式投入生产运行之前；安全评估，即一种利用大量安全性行业经验和先进安全技术相结合的综合分析和评价手段。
系统上线前安全评估是格修科技最大化减小生产运行系统可能存在的安全隐患，而设计的一套行之有效、针对性强的风险识别、检测、规避方法。
CMA / CNAS / CCRC
CMA
检验检测机构资质认定
CNAS
实验室认可
CCRC
信息安全风险评估服务资质
公司资质展示，适用范围按证书及项目核对。
我们会做什么
从需求与范围确认，到实施验证与资料交付，具体安排结合项目情况确认。
01
确认测评目标边界
明确是上线前核查、内部制度检查还是合同约定测评，梳理系统边界、资产清单和业务方、运维方的责任分工。
02
收集资料与运行证据
准备部署拓扑、管理制度及运行记录，通过文档审阅和访谈核对适用要求，列明当前能够检查及条件不足的事项。
03
核查技术与管理控制
围绕身份权限、网络隔离、日志、备份和运维等控制，检查制度与实际配置是否相符，记录观察证据及验证限制。
04
形成差距与整改安排
将发现对应到检查依据、业务影响和责任建议，区分立即修复、计划改造及需业务决策的事项，明确整改重点。
05
复核状态并交付结果
根据约定检查整改后的实际运行状态，汇总差距处理情况及遗留限制，以可核对的证据说明本次测评结果。
上线前安全评估服务内容
调研管理
-
文档审阅
-
顾问访谈
-
文档撰写
技 术 评 估
-
配置检查
-
安全扫描
-
安全功能审核
哪些情况需要信息系统安全测评
上线前安全状态核查
系统准备投产时，先明确此次检查需要回答的问题，再结合配置、漏洞和安全功能等适用项识别上线前的差距。
内部制度执行检查
已有账号、变更和运维制度需要核对落实情况时，将制度条款与审批记录、权限配置及运行证据进行对应检查。
安全建设效果复核
部署安全设备或完成加固后，检查实际场景、配置与管理措施是否衔接，避免只用采购记录判断控制已经有效。
服务重点
确定这次测评回答什么：明确对象是上线前安全核查、内部制度检查还是合同约定的测评。
制度、配置与执行一起核对：围绕身份权限、网络隔离、日志、备份、变更和运维等控制，检查文档与实际环境是否相符。
按风险推进整改验证：交付差距清单时说明检查依据、观察证据、业务影响与责任建议，并区分立即修复、计划改造及需业务决策的事项。
为什么要做上线前安全评估报告？
Why do I need to do a pre-launch security assessment report?
避免遭受攻击
或因存在类似SQL注入、密码明文传输、安全功能缺失等漏洞而遭受攻击
重要依据
安全评估结果可作为对单位所实施的安全措施进行优先级排序的重要依据
符合法律法规
满足《中华人民共和国网络安全法》相关要求
保证安全
安全评估有助于将安全控制措施优先应用于高风险区域
避免影响单位信誉
不进行系统安全体系建设会流失红利，影响单位信誉或业务正常开展造成经济和名誉的损失
满足《网络信息安全等级保护》合规要求
系统上线前安全评估服务
Pre-launch security assessment service
通过针对集成环境的安全漏洞扫描、安全配置检查，针对应用系统的渗透测试、代码审计以及针对应用系统的安全功能审核等三方面五项技术措施，对应用系统的安全状况进行评估。
该服务有助于发现集成环境中的安全风险
-
避免操作系统和数据库缺失安全补丁，存在不当的安全策略以及开启不安全的服务
-
对应用系统的安全状况进行检查，而且从业务功能逻辑上，对应用系统的安全功能进行检查，避免应用系统在安全功能上的缺失
上线前安全评估范围
-
应用软件
-
物理环境
-
网络设备
-
操作系统
系统上线前安全评估的实施流程
-
申请评估
-
提交项目文档
-
文案备齐
-
安全评估过程
-
输出整体报告及汇报
-
通过评估
信息系统项目小组 安全评估小组
安全评估服务优势
覆盖面广
可以较为全面的发现各类安全问题
人员资质
阿里云 ACA，ITIL（IT 基础架构库）认证，网络安全协会专家、理事，省级网络安全实战攻防演练（护网行动）优秀裁判
减小安全风险
协助客户发现了大量安全问题，大大减小了系统投产后的安全风险。
实施经验丰富
技术人员行业经验丰富、技能比较全面，得过攻防大赛冠军，省级网络安全协会专家兼理事
确定这次测评回答什么
明确对象是上线前安全核查、内部制度检查还是合同约定的测评。准备系统边界、部署拓扑、资产清单及适用要求，区分业务方、运维方和云服务方的责任。等级保护相关工作需另行确认适用标准、范围和资质要求，不能把一般安全检查自动等同为正式等级测评。
制度、配置与执行一起核对
围绕身份权限、网络隔离、日志、备份、变更和运维等控制，检查文档与实际环境是否相符。制度规定了审批流程，还需要账号开通记录和权限配置等证据；仅凭访谈或界面截图无法确认的事项，应记录验证限制。
按风险推进整改验证
交付差距清单时说明检查依据、观察证据、业务影响与责任建议，并区分立即修复、计划改造及需业务决策的事项。复核整改需检查实际运行状态，不能只依据采购完成或制度更新判断问题关闭。
常见问题
购买安全设备后是否就满足测评要求？
需要看设备是否覆盖实际场景、配置是否正确、日志和处置是否运行，以及其他管理控制是否落实。产品采购记录本身不足以证明控制有效。
