這是什麼證書？
網路安全評估是對組織或系統的安全態勢的獨立檢查。它不需要與特定的認證計劃掛鉤：滲透測試、漏洞評估、架構審查、成熟度評估（例如 NIST CSF、CIS 控制）或紅隊練習都屬於此標題。產出是調查結果和建議報告，而不是證書。
誰需要它？
- 想要衡量其安全狀況的組織
- 希望在認證前進行差距分析的公司
- 有定期滲透測試合約義務的公司
- 想要在上線前驗證新系統或產品的團隊
- 組織在事件發生後重新評估其姿態
是否為強制？
本身並不強制。然而，許多框架和法規都規定了定期測試義務：PCI DSS 要求進行滲透測試和掃描，ISO/IEC 27001 要求進行技術合規性審查，NIS2 等法規要求評估風險管理措施的有效性。
標準適用範圍
- 定義參與範圍和規則
- 編譯資產清單和攻擊面
- 漏洞掃描和驗證
- 滲透測試：外網、內網、網路應用、行動應用、無線
- 配置和強化審查
- 身份和存取管理審查
- 架構和分段評估
- 社會工程和意識測試（如果在範圍內）
- 成熟度評估（根據 NIST CSF、CIS Controls 等框架）
- 按風險等級確定優先順序並報告結果
- 修復後驗證測試
驗證流程
- 1確定範圍和計劃確定要審核的地點和流程以及方案所需的審核持續時間。
- 2預評估可選擇進行差距分析；在主要審計之前，差距就會顯現出來。
- 3現場稽核記錄審查、現場觀察和工人訪談均根據該計劃的清單進行。
- 4發現事項報告根據計劃的分類報告調查結果。這些方案的輸出是審核報告，而不是憑證。
- 5矯正措施與追蹤針對調查結果提交糾正行動計劃；該計劃以後續審計結束。
有效期限
審計報告的有效期限由方案規定，大多為一年至兩年。該報告用於購買品牌接受的期間。
所需文件
- 組織和站點詳細信息
- 員工人數和輪班模式
- 法律許可和執照
- 相關政策和程序
- 工資、時間和人事記錄
驗證費用
無固定牌價；費用依下列變數計算，並於報價中以書面形式提供。
- 審核地點數量及人數
- 方案規定的審核期限
- 是否需要預評估（差距分析）
- 是否需要後續審核
認證
這些計劃中的大多數都會產生審計報告，而不是文件，並受計劃所有者（例如 Sedex、amfori、RBA）自己的審批系統的約束；並非每個計劃都具有經典意義上的認證。審核員的能力和報告的有效性由計劃所有者的規則決定。
此方案可提供的範圍因您的產品與業務而異；將於報價階段以書面形式確認。
範圍和授權相關認證
常見問題
滲透測試和漏洞掃描是一回事嗎？
不會。漏洞掃描使用自動化工具列出已知的弱點。滲透測試利用人類專業知識驗證這些發現是否確實可利用，並揭示連鎖攻擊路徑。兩者在深度和成本上有所不同。
評估結果後我可以獲得證書嗎？
不頒發證書；編寫調查結果和建議報告。有些客戶要求提供證明信以確認已進行測試，但這不是合格證書。
我應該多久做一次？
頻率取決於您所遵循的框架和您的變化率。通常的做法是每年進行一次測試；然而，只要架構或應用程式發生重大變化，就需要進行臨時測試。