SRAA 安全风险评估及审核
盘点系统与数据、识别威胁及控制差距，整理风险级别、证据、负责人及修复优先次序。
网络安全与风险保证
把安全风险变成可修复、可验证的工作清单
由评估范围、测试、证据到修复复测，协助企业及机构了解网站、系统、API 与源代码的实际风险。
快速答案
这项服务包括什么？
由评估范围、测试、证据到修复复测，协助企业及机构了解网站、系统、API 与源代码的实际风险。
- 常见范围
- 可按风险及合规需要组合的服务 · 你会收到什么 · 由授权到复测的四个阶段
- 实施方式
- 先明确目标、现有流程、数据、权限及系统集成，再分阶段设计、验证、上线及交接。实际范围会按需求分析确认。
网络安全与风险保证
可按风险及合规需要组合的服务
先确认资产、数据敏感度及用途，再选择合适的评估深度；不以单一扫描结果代替专业判断。
网站、API 及渗透测试
在书面授权及确认范围内，验证身份认证、权限、输入处理、数据暴露及常见攻击面的实际影响。
源代码、依赖组件及秘密扫描
结合静态分析、第三方组件风险及凭证／密钥泄漏检查，协助开发团队定位修复方向。
云端与配置安全检查
检查公开暴露、TLS、安全响应头、访问控制、备份、日志及部署配置。
你会收到什么
报告以决策及修复为目的，而不是堆砌扫描器输出。
| 交付项目 | 内容 | 用途 |
|---|---|---|
| 管理摘要 | 范围、主要风险、业务影响及优先次序 | 供管理层及项目负责人决策 |
| 技术发现 | 可复现证据、受影响组件、风险说明及修复建议 | 供开发、IT 或供应商处理 |
| 风险记录 | 严重程度、负责人、状态及建议时限 | 追踪修复与风险接受 |
| 修复复测 | 在约定范围内重新验证已处理项目 | 确认风险是否降低或仍需跟进 |
由授权到复测的四个阶段
测试前先写清楚目标、范围、时段、禁止动作、联系人及数据处理方式。
1
1. 范围与规则
确认资产、环境、测试账户、书面授权、风险容忍度及紧急停止安排。
2
2. 评估与验证
结合自动化与人工方法，并只保留修复所需证据。
3
3. 汇报与修复工作坊
解释风险、误报限制、可行修复次序及负责方。
4
4. 复测与收结
重新验证约定项目，并记录修复、风险接受或待跟进状态。
方法与参考框架
实际范围仍按系统及风险而定；以下官方资料有助团队理解风险评估与安全软件开发原则。
如何判断服务是否适合
先要求清楚范围、方法、证据、数据处理及复测安排；一次测试不等于“永久安全”。
SRAA 是 Security Risk Assessment and Audit（安全风险评估及审核），以已界定范围盘点资产、威胁、控制及风险，并形成可跟进记录。
SRAA 着重整体资产、威胁、控制及风险记录；渗透测试在授权范围内验证特定技术弱点。
通常不足够。扫描用于扩大覆盖，人工复核用于确认情境、业务影响及误报。
可以，但需要资产拥有者或获授权方的书面同意，并预先界定环境、账户、测试时段及禁止动作。
不会。评估只反映约定范围及测试时点内找到的证据，之后仍需要修复、监控及定期复核。