1、影響系統(tǒng)正常運行的風險

在現(xiàn)場測評時.需要對設(shè)備和系統(tǒng)進行--定的驗證測試工作,部分測試內(nèi)容需要上機驗證并查看一

些信息,這就可能對系統(tǒng)運行造成-.定的影響,甚至存在誤操作的可能。

此外,使用測試工具進行漏洞掃描測試.性能測試及滲透測試等,可能會對網(wǎng)絡(luò)和系統(tǒng)的負載造成

一定的影響,滲透性攻擊測試還可能影響到服務(wù)器和系統(tǒng)正常運行,如出現(xiàn)重啟、服務(wù)中斷、滲透過程中

植入的代碼未完全清理等現(xiàn)象。

2、敏感信息 泄露風險

測評人員有意或無意泄漏被測系統(tǒng)狀態(tài)信息，如網(wǎng)絡(luò)拓撲、IP地址、業(yè)務(wù)流程、業(yè)務(wù)數(shù)據(jù).安全機

制.安全隱患和有關(guān)文檔信息等。

3、木馬植入風險

測評人員在滲透測試完成后,有意或無意將滲透測試過程中用到的測試工具未清理或清理不徹底,

或者測試電腦中帶有木馬程序,帶來在被測評系統(tǒng)中植人木馬的風險。

4、等級測評 風險規(guī)避

在等級測評過程中可以通過采取以下措施規(guī)避風險:

在測評工作正式開始之前,測評方和被測評單位需要以委托協(xié)議的方式明確測評工作的目標、范

圍、人員組成、計劃安排、執(zhí)行步驟和要求以及雙方的責任和義務(wù)等,使得測評雙方對測評過程中的基本

問題達成共識。

測評相關(guān)方應(yīng)簽署合乎法律規(guī)范的保密協(xié)議,以約束測評相關(guān)方現(xiàn)在及將來的行為。保密協(xié)議規(guī)

定了測評相關(guān)方保密方面的權(quán)利與義務(wù)。測評過程中獲取的相關(guān)系統(tǒng)數(shù)據(jù)信息及測評工作的成果屬被

測評單位所有,測評方對其的引用與公開應(yīng)得到相關(guān)單位的授權(quán),否則相關(guān)單位將按照保密協(xié)議的要求

追究測評單位的法律責任。

現(xiàn)場測評之前,測評機構(gòu)應(yīng)與相關(guān)單位簽署現(xiàn)場測評授權(quán)書,要求相關(guān)方對系統(tǒng)及數(shù)據(jù)進行備份，

并對可能出現(xiàn)的事件制定應(yīng)急處理方案。

進行驗證測試和工具測試時.避開業(yè)務(wù)高峰期.在系統(tǒng)資源處于空閑狀態(tài)時進行,或配置與生產(chǎn)環(huán)

境一致的模擬/仿真環(huán)境,在模擬/仿真環(huán)境下開展漏洞掃描等測試工作;上機驗證測試由測評人員提出

需要驗證的內(nèi)容，系統(tǒng)運營、使用單位的技術(shù)人員進行實際操作。整個現(xiàn)場測評過程要求系統(tǒng)運營、使

用單位全程監(jiān)督。

測評工作完成后,測評人員應(yīng)將測評過程中獲取的所有特權(quán)交回,把測評過程中借閱的相關(guān)資料文

檔歸還,并將測評環(huán)境恢復(fù)至測評前狀態(tài)。