网络安全评估是指针对公共网络所存在的漏洞及漏洞披露方式进行的一种技术评估。

这是一种纯粹的技术评估方法学，他会让人们对现今的公共网络所面临的威胁、所存在的漏洞及漏洞披露方式有一个更为深刻的理解。在系统安全领域，所进行的数以万计的渗透测试的目的是“识别被测系统的技术漏洞，以便纠正这些漏洞或者降低由这些漏洞所带来的风险”。对于为什么要进行渗透测试而言，这是一个清晰、简明但也是错误的理由。

会逐渐认识到，大多数情况下漏洞及其披露缘于系统管理不善、没有及时打补丁、弱口令策略、不完善的存取控制机制，等等。因此，进行渗透测试的主要原因和目的应该是识别和纠正系统管理过程的失效，正是这种失效导致了系统漏洞的出现，并在渗透测试的过程中被披露出来。最常见的系统管理过程失效包括：

* 系统软件配置的失效

* 应用程序软件配置的失效

* 软件维护的失效

* 用户管理和系统管理的失效

不幸的是，很多IT安全顾问仅仅提供特定测试所发现问题的详细列表，但从来不尝试进行更高层次的分析，以便回答“为什么会存在这些问题”。缺乏对那些系统管理失效（系统管理失效是引发测试中所发现的问题的本质原因）的识别和纠正所带来的后果是：在六个月之后，当IT安全顾问再一次对信息系统进行测试之后，新的问题又会出现。

如果一位负责信息系统安全的专业人员，评估别人所负责管理的网络，他将会有效地列出了敌手所可能采用的攻击技术和工具；

如果为客户进行安全评估的顾问，那些可能引发系统漏洞的管理过程失效是至关重要的。

某一专业网络安全评估公司曾经为一个大型的国际客户进行过一系列的渗透测试，该客户的业务系统是多区域性的，所执行的IT安全策略是集中发布、分区域执行的。评估公司把测试得到的技术结果映射到了如下的一些管理范畴：

操作系统配置 由于不正确地配置操作系统软件所引发的漏洞

软件维护 由于未对已知漏洞打补丁而引发的漏洞

口令/存取（访问）控制 由于不遵守口令策略和不正确的存取控制设置引发的漏洞

恶意软件 存在恶意软件（木马、蠕虫等）或至少有其存在的迹象

危险的服务 存在有漏洞的或易被攻击者渗透的服务或进程

应用程序配置 由于应用程序配置不当引发的漏洞

周密的网络安全评估与分析，是可靠，

有效的安全防护措施制定的必要前提。网络风险分析应该在网络系统，应用程序或信息数据库的设计阶段进行，这样可以从设计开始就明确安全需求，确认潜在的损失。因为在设计阶段实现安全控制要远比在网络系统运行后采取同样的控制要节约的多。即使认为当前的网络系统分析建立的十分完善，在建立安全防护时，风险分析还是会发现一些潜在的安全问题。网络系统的安全性取决于网络系统最薄弱的环节，任何疏忽的地方都可能成为黑客攻击点，导致网络系统受到很大的威胁，最有效的方法是定期对网络系统进行安全性分析，及时发现并修正存在的弱点和漏洞，保证网络系统的安全性。

网络安全评估指标体系是网络安全评估体系的重要组成部分。网络安全评估指标是网络安全评估的工具，是反映评估对象安全属性的指示标志；网络安全评估指标体系则是根据评估目标和评估内容的要求构建的一组反映网络安全水平的相关指标，据以搜集评估对象的有关信息资料，反映评估对象的网络安全的基本面貌、素质和水平。

随着信息通信技术的演进和发展，网络信息安全的内涵需要不断地延伸，从最初的信息保密性发展到信息的完整性、可用性、可控性和不可否认性，进而又发展为“攻（攻击）、防（防范）、测（检测）、控（控制）、管（管理）、评（评估）”等多方面的基础理论和实施技术。网络信息安全风险评估则是进行网络信息安全管理和安全保障的基础和手段，是网络信息提供者、使用者判定安全风险级别的过程，也是应否实施额外的安全控制以进一步降低安全风险的依据。

加强信息安全保障工作的总体要求和主要原则，并对信息安全保障工作做了全面部署。其中信息安全风险评估是信息安全保障的重要基础性工作之一。

电信网络作为国民经济的基础设施，与国民经济各领域的联系日益紧密，网络安全问题对整个国民经济信息化进程有着举足轻重的战略作用。电信网网络安全作为国家信息安全的一个重要组成部分，要与国家信息安全总体要求和总体部署保持一致，要坚持积极防御、综合防范的方针，提高网络防护能力和风险识别能力，加强网络安全评估体系的研究。