云安全通用检测评估-

1. 商品定义：

云安全 通用检测/评估可用于识别和评估 云计算 环境中潜在的安全风险和漏洞。它通过 自动化 工具和服务，对云上的数据、应用及基础设施进行扫描与分析，以确保符合相关安全标准，帮助用户及时发现安全隐患，并提供改进建议，从而加强云环境的整体安全性。

2. 应用场景：

日常运营：日常运营中，可利用云安全通用检测/评估及时识别风险，针对发现问题，及时进行 安全加固 与整改，保障业务稳定运行。

应急与重大事件保障：在业务升级、重大事件等关键时间节点进行安全保障。面临突发安全事件时，可快速定位并解决问题，

合规性保证：为了符合行业标准及法律法规要求，企业定期进行云安全通用检测/评估，可以保护企业免受法律风险，并提升客户信任度。

3. 公司优势：

重庆市信息通信咨询设计院有限公司隶属于中国通信服务股份有限公司，国有企业控股。公司成立于1984年，前身系重庆市电信规划设计院。

公司是“信息通信领域五甲企业”，不仅拥有咨询、设计、勘察、建筑智能化、信息通信建设企业服务能力五项甲级资质，同时拥有网络安全、建筑、能源、测绘、市政行业多项资质。同时为国家认可的网络安全等级测评机构以及商用密码检测机构，具备信息安全服务和 数据安全 服务能力。

公司获得国家级、省部级以及各类协会优秀设计奖、荣誉称号195项，拥有专利、软著48项，制定各种规范标准47项。公司是重庆市信息技术应用标准化技术委员会秘书单位、重庆市网络安全技术咨询中心、重庆市网络与信息安全信息通报机制技术支持单位、重庆市重点软件和信息服务企业。公司先后荣获重庆市科学技术奖、重庆市企业创新奖、重庆市网络安全优质服务企业、重庆市优秀创新型企业等称号，连续多年被评为高新技术企业、全国优秀通信设计企业。

4. 成功案例：

重庆某金融公司安全等级保护测评及渗透测试项目

重庆某电力公司网络安全系统 漏洞扫描服务 项目

重庆市某分局网安支队信息安全风险评估项目

重庆市某电力公司关基业务系统风险评估及安全加固项目

青海省某通管局新技术新业务信息安全评估项目

5. 为什么开展云安全通用检测/评估?

在数字化浪潮下，云计算广泛应用，云安全威胁也随之增多，开展云安全通用检测迫在眉睫。其包含的六项服务，从多维度保障云环境安全。渗透测试模拟黑客攻击，主动发现系统深层次漏洞，评估防御体系的有效性； 漏洞扫描 可快速检测出云环境中已知的安全漏洞，为及时修复提供依据。基线核查通过对照行业安全标准，确保云环境配置合规，减少因配置不当带来的风险；风险评估则对潜在威胁和影响进行量化分析，帮助企业明确安全工作的优先级；安全管理评测从制度、流程和人员等方面入手，完善企业的安全管理体系；代码审计专注于检查云应用程序代码，从源头消除安全隐患。

云安全通用检测不仅能全面发现和解决云环境中现存的安全问题，还能预测潜在风险，增强企业对云安全的管控能力，避免数据泄露、服务中断等安全事件的发生，确保企业在云端的业务安全、稳定运行，同时也助力企业满足各类行业合规要求，维护企业声誉与竞争力。

6. 云安全通用检测/评估相关标准

《信息安全技术 漏洞管理规范》（GB/T 28451-2012）

《信息安全技术 操作系统安全技术要求》（GB/T 20272-2019）

《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）

《信息安全技术 信息安全风险评估方法》（GB/T 20984-2022）

《信息安全技术 信息系统安全管理评估要求》（GB/T 28453-2012）

《信息安全技术 代码安全审计规范》（GB/T 39412-2020）

《信息安全技术 信息安全风险评估方法》(GB/T 20984-2022)

《信息安全技术 信息安全风险评估实施指南》(GB/T 31509-2015)

《信息安全技术 信息安全风险处理实施指南》(GB/T 33132-2016)

《信息安全技术 信息安全风险管理指南》(GB/T 24364-2023)

OWASP（Open Web Application Security Project，开放式Web应用程序安全项目）十大Web漏洞-2021

CWE（Common Weakness Enumeration，通用缺陷列表）

CWE/SANS TOP 25（25个最危险的编程错误）

7. 产品详情：

渗透测试：模拟黑客可能使用的攻击技术和漏洞发现技术，对客户授权渗透测试的目标系统进行深入的探测，以发现系统最脆弱的环节和可能被利用的入侵点。

漏洞扫描：在客户的授权下，利用 漏洞扫描工具 对目标范围内对象进行漏洞扫描，出具漏洞扫描报告并提出相应的漏洞修复建议，并结合人工验证等手段，合理评估脆弱性被威胁利用的可能性。

基线核查：按照国家标准并结合企业 信息化 实际情况建立适合企业自身的安全基线规范，通过对比安全基线内容，对整体信息系统安全配置进行全面检查。

风险评估：对网络及信息系统定期进行全面的、统一的漏洞扫描和安全检测，进行安全风险评估，识别和控制网络系统中的关键资产及可能存在的安全风险，分析信息系统可能面临的威胁和存在的脆弱性，以及脆弱性被威胁利用的可能性及影响。对评估中所发现的问题进行优化，或提供改进意见（如：对系统的安全策略和安全配置实施优化的建议方案），以切实控制安全风险。

安全管理评测：评估公司系统在安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等方面的管理现状及可能面临的风险。

代码审计：通过工具结合人工审查的方式，对平台源代码逐条进行检查和分析，发现这些源代码缺陷引发的安全漏洞，并提供代码修订措施和建议。