如何規避測評風險，濟南辦理等保的好處
網絡安全測評行業是一個極具挑戰性的行業，整個測評流程不單單局限于技術層面，還涉及單位的管理層面，整個測評工作的生命周期內會出現各種各樣的問題，如何管理和規避測評工作中的風險，成為測評工作是否取得成功的關鍵。
1、常見風險
等級測評實施過程中，可能出現以下幾方面的情況。
（1）驗證測試影響系統正常運行
在現場測評時，需要對設備和系統進行一定的驗證測試工作，部分測試內容需要上機查看一些信息，這就可能對系統的運行造成一定的影響，甚至存在誤操作的可能。
（2）工具測試影響系統正常運行
在現場測評時，會使用一些技術測試工具進行漏洞掃描測試、性能測試甚至抗滲透能力測試。測試可能會對系統的負載造成一定的影響，漏洞掃描測試和滲透測試可能對服務器和網絡通訊造成一定影響甚至傷害。
（3）敏感信息泄露
泄露被測系統狀態信息，如網絡拓撲、IP地址、業務流程、安全機制、安全隱患和有關文檔信息。
（4）測評工作進度風險
由于測評涉及范圍廣，測評進度的控制絕非易事，不僅取決公司的技術能力，服務水平，同時在很大程度上受到對范圍控制是否有效、對測評投入（包括人員時間的投入和資金等的投入）是否足夠等方面的影響。在實際實施過程中，并非所有用戶對本次安全等級測評測評實施理解與認同，因此，在測評實施時，可能一味在測評進度計劃時求快，甚或刻意追求某個具有特殊意義的日期作為測評里程碑，將對測評進度控制造成很大壓力。當然，可能由于種種原因，如測評環境不具備、人員沒有到位，測評工具問題等，造成測評進度拖延。
（5）測評工作中人力資源的風險
測評工作主要由不同崗位的測評人員對單位網路產品、安全產品、系統產品及管理進行的安全合規性檢查活動。人力資源是測評實施過程中最為關鍵的資源。保證合適的人員以足夠的精力參與到測評中來，是測評成功實施的基本保證。
（6）測評范圍風險
合同中測評范圍與實際實施過程中項目的結構規模有誤而造成的。
（7）測評質量風險
由于在項目建設過程中未確立標準的質量考核體系以及對質量指標監控不嚴造成的。
（8）對測評認識不正確的風險
測評實施過程中，被測系統單位人員往往對測評本身不夠重視，沒有詳盡地描述系統的基本安全狀況，現場測評的訪談環節沒有對測評人員的需求給予明確的解答，這樣導致在測評過程中訪談和工具測試結果不吻合，使得測評結果不能反映系統存在的問題，甚至被測評單位不認可最后的測評報告。
（9）對實際環境不熟悉的風險
由于用戶的網絡環境及應用會由一定的差別，而且大部分網絡應用是由軟件開發商開發，不同的開發商所使用的開發工具、數據庫、協議等都不相同，并且網絡設備如交換機、路由器也不盡相同，這就對測評的實施提出了很高的要求，各類設備的配置不可能千篇一律，要按實際環境而調整。
2、風險規避
風險規避，是指針對網絡安全測評工作中可能出現的風險，對風險進行應對和規劃，降低威脅的方法和行動。不論什么風險，最后都是降低消極風險，提高積極風險，才能使工作順利有序進行。針對測評過程可以采取以下措施進行規避風險。
（1）制定測評計劃書
充分考慮各種潛在因素，適當留有余地；任務分解詳細度適中，便于考核；在執行過程中，強調測評按進度執行的重要性，在考慮任何問題時，都將保持進度作為先決條件；同時，合理利用趕工及快速跟進等方法，充分利用資源。
（2）制定質量管理計劃
定義出項目各子系統需要滿足的質量標準，對測評各階段的輸出文檔、測評記錄數據幾方面進行控制，記錄備案并以文件的形式下達，降低風險發生的概率。
（3）簽署委托測評協議
在測評工作正式開始之前，以委托測評協議的方式明確測評工作的目標、范圍、人員組成、計劃安排、執行步驟和要求，以及雙方的責任和義務等。使得測評雙方對測評過程中的基本問題達成共識，后續的工作也以此為基礎，避免以后的工作出現大的分歧。
（4）簽署保密協議
簽署完善的、合乎法律規范的保密協議，以約束測評雙方現在及將來的行為。
（5）簽署現場測評授權書
在現場測評工作開始之前，以測評授權的方式明確測評工作中雙方的責任，揭示可能的風險，避免可能出現的糾紛和分歧。
（6）現場測評工作風險的規避
進行驗證測試和工具測試時，安排好測試時間，盡量避開業務高峰期，在系統資源處于空閑狀態時進行，并需要相關技術人員對整個測評過程進行監督；在進行工具測試前，需要對關鍵數據做好備份工作，并對可能出現的影響制定相應的處理方案。
（7）測評現場還原
測評工作完成后，測評人員應交回測評工程中獲取的所有特權，歸還測評過程中借閱的相關文檔，并嚴格清理測評過程中植入被測系統中的相關代碼\程序。
（8）規范化的實施過程
為保證按實施計劃、高質量地完成測評工作，需明確測評記錄和測評報告要求，需明確測評過程中每一階段需要產生的相關文檔，使測評工作有章可循。在委托測評協議、現場測評授權書和測評方案中，明確雙方的人員職責、測評對象、時間計劃、測評內容要求等。
（9）溝通與交流
為避免測評工作中可能出現的爭議，在測評開始前與測評過程中，需要進行積極有效的溝通和交流，及時解決測評過程中出現的問題，這對保證測評的過程質量和結果質量有重要的作用。
（10）測評實施中的風險監控
采取以下措施對測評實施中的風險進行監控，以防止危及測評成敗的風險發生。建立并及時更新測評風險列表及風險排序。測評管理人員隨時關注與關鍵風險相關因素的變化情況，及時決定何時、采用何種風險應對措施
