环境与责任盘点
整理纳入评估的系统、设备及负责人 确认可取得的资料与限制
找出缺口
知道先做甚么
从实际设备、设定与工作流程开始 检视基本安全控制 整理风险及改善次序 让企业有依据地作决定
适合未有完整安全盘点、准备更换 IT 支援 或希望确认现有防护安排的企业
工作范围
我们可以负责的工作
实际项目按企业环境及委托范围确认
基本控制检视
按范围检视帐户权限、多重验证、更新状态及远端接入设定
备份安排检视
检视可提供的备份纪录与复原安排；实际还原测试另行界定
改善优先次序
说明已发现的问题、营运影响及建议行动 区分即时与后续工作
交付内容每项工作
每项工作
有可查阅的纪录
工作频率、责任、服务时段及额外收费项目 均在委托前说明
- 评估范围及证据限制
- 环境与责任盘点摘要
- 风险及改善清单
- 按优先次序排列的行动建议
SECURITY PRODUCTS / 安全产品
结合安全技术与本地服务
WebRAY（盛邦安全）安全产品由代理商一大方案有限公司提供 企业可按需要讨论漏洞评估及应用安全方案 设备、授权与交付范围会在方案内列明
WebRAY（盛邦安全）提供漏洞管理、Web 应用防护、API 安全及网络安全产品 GDMME 会按企业需要讨论产品选型、部署及管理安排 并在方案中列明采用的产品与授权
WebRAY RayScan / 漏洞评估
找出漏洞 排定改善次序
按方案确认范围
使用 WebRAY（盛邦安全）的 RayScan 漏洞评估技术时 GDMME 可按已授权资产及企业需要规划扫描、结果核实、修补建议与复测安排
可评估的检查项目
系统漏洞
检查作业系统、软件及设备中的已知漏洞与更新缺口
Web 应用漏洞
检查 Web 应用常见漏洞 例如注入、跨站脚本及档案上传风险
弱密码
按授权范围检查弱密码风险 事先确认速率及帐户锁定限制
安全基线
核对安全设定与所选基线 指出需要检视的设定差异
资料库漏洞
检视资料库的设定、身份验证、权限及已知漏洞
容器映像
检查容器映像中的漏洞及设定问题 支援部署前的风险检视
甚么时候适合安排评估？
- 网站或系统上线前：先确认暴露资产、检查范围及需要修补的问题
- 重大改动或服务交接后：重新检视纳入范围的系统与安全设定
- 定期风险检视：按约定频率追踪新增发现、修补进度及复测结果
确认授权与范围
列明纳入的 IP、网站、系统、存取方式、测试时段及停止条件
执行扫描与核实
按约定方式扫描 检视结果及证据限制 核实需要跟进的发现
提交改善清单
按风险与营运影响排序 列明受影响资产、建议行动及负责人
安排复测
按另行确认的范围复测已修补项目 记录改善结果及待处理事项
报告与交付内容
以下为可纳入方案的交付项目 实际证据、深度与复测次数 按已确认的工作范围安排
| 交付项目 | 可以包含的资料 |
|---|---|
| 范围与资产摘要 | 已授权资产、检查时间、采用的方式 以及无法检查或尚待确认的项目 |
| 发现与证据 | 受影响资产、漏洞识别及参考来源、可取得的证据 以及已核实或待核实状态 |
| 风险与改善清单 | 按严重程度、对外暴露及营运影响订立优先次序 列明建议行动、负责人及目标时限 |
| 复测与待处理纪录 | 记录已修补、未修补或未能核实的项目 列明复测日期及仍需跟进的限制 |
选择扫描方案前
是否每个方案都包含六类检查？
按所选版本、授权、可取得的存取权限及企业资产确认 方案会列明采用的模组、资产数量与排除项目 让你清楚了解实际覆盖
扫描后会自动修补吗？
修补工作需要由负责团队评估影响 按改动安排执行 GDMME 可按另行确认的委托提供改善跟进与复测；你亦可交由现有 IT 团队处理
检查模组及可用功能取决于所选版本、授权与部署条件 扫描结果须配合核实；渗透测试及红蓝队演练可另行委托
RED / BLUE / PURPLE TEAM
以演练验证防御能力
演练方案规划中
GDMME 正规划把红蓝队安全演练纳入评估的延伸方案 以约定情境检视攻击路径、侦测及处置能力 再共同订立改善及复测安排
红队：模拟攻击路径
在授权资产及测试范围内 按约定情境模拟攻击者行为 记录可验证的安全缺口
蓝队：验证侦测与处置
检视纪录、告警及升级流程 验证约定的隔离、应对及复原安排
紫队：共同检视与改善
以共同证据核对侦测覆盖与盲点 安排规则调整、流程改善及复测
演练情境示例
以下是规划示例 会按企业目标、授权及人员安排选定；实际系统测试与桌面推演的范围会分开确认
- 帐户异常与权限变更
- 在受控情境下 检视相关纪录、告警、身份核实及升级通报流程
- 网站异常请求
- 以约定的测试请求核对纪录与侦测覆盖 检视已部署防护的处置结果
- 事故通报与复原协调
- 透过桌面推演检视联络人、责任分工、隔离决策及复原优先次序
检视演练结果
可按范围记录已执行情境、侦测覆盖、通报及处置时间、待改善事项与复测结果 这些纪录用于跟进改善 实际指标及量度方法在方案中确认
方案可包括演练计划、测试证据、侦测覆盖摘要、改善清单及复测纪录 实际交付以约定范围为准
执行前须确认书面授权、资产清单、允许及排除项目、时段、停止条件与资料处理方式 人员安排、演练强度及交付内容按委托确认
责任与服务边界先把责任说清楚
先把责任说清楚
合作才有依据
清楚列明包括与未包括的工作 方便比较方案 也方便日后跟进
需要另外确认
- 基线评估不等同渗透测试、认证审核或法律合规意见
- 可能影响系统的测试 需要另行授权及安排维护时段
- 结果以约定检查及当时可取得的证据为依据 未取得的资料会列为限制
企业本身需要负责甚么？
指定有权作决定的联络人 说明营运优先次序及系统／资料负责人 执行授权、安全的存取安排、现有供应商协调及约定的内部跟进 仍需要企业配合
评估期间发现更多系统 会一并检查吗？
新增系统、测试或需要额外资料时 先确认范围、授权、时间及费用 未纳入检查的项目应清楚标示 不能当作已通过评估
决定之前
把关心的问题先说清楚
这是渗透测试吗？
本服务为约定控制项目及现有证据的基线检视 渗透测试须另行界定范围、授权及时间
会影响日常营运吗？
事前确认存取方式与时段；可能影响营运的操作须另作协调及确认
评估后必须使用托管服务吗？
评估可独立进行 你可以交由现有 IT 团队跟进 或另行要求改善及管理方案
评估可以证明公司完全安全或已经合规吗？
评估只能反映约定范围、时间及可取得的证据 不保证日后不会发生事故 也不等于合规认证 涉及特定行业规管、审计或法律要求时 应另行确认所需专业工作
没有完整设备清单 可以开始吗？
可以先提供目前知道的系统、据点、使用人数及主要问题 评估前再界定可取得的资料、授权及限制；缺少证据的部分应在结果中标示 不能当作已通过检查
委托前先说清楚
方案如何厘定
- 你的环境
- 人数、设备、据点与现有系统
- 包含的工作
- 约定工作、授权及另行收费项目
- 服务安排
- 涵盖时段、检视频率与交接时间
公开指引与延伸阅读
以下资料供一般准备及延伸阅读 来源不代表 GDMME 的合作、认证或背书；适用范围与发布日期请以原文为准
- 资讯安全网：备份及复原
备份安排应包括资产范围、负责人、纪录检查及实际复原测试
- HKCERT：中小企网络安全七大攻略
从管理政策、端点、网络、系统、监察、事故处理及员工意识 检视基本安全安排
- 私隐专员公署：资讯及通讯科技的保安措施指引
资料保安同时涉及管理责任、风险评估、技术措施、资料处理者管理及事故后检讨
先说说你的企业需要
提供公司规模及简述情况 再确认可行的下一步