風(fēng)險評估報告-模板.docx

1、一、風(fēng)險評估目的為本公司依據(jù)IS027001:2013信息技術(shù)-安全技術(shù)-信息安全管理體系要求 和IS027001:2013信息技術(shù)-安全技術(shù)-信息安全管理體系實用規(guī)則標(biāo)準(zhǔn)建立 信息安全管理體系提供策劃依據(jù)，并為信息安全管理體系的運行提供評審的輸入 及管理體系的持續(xù)改進(jìn)提供依據(jù)，進(jìn)行本次風(fēng)險評估。二、風(fēng)險評估日期三、評估小組成員四、評估方法本次信息安全風(fēng)險評估采用定量的方法對資產(chǎn)進(jìn)行識別，并對資產(chǎn)自身價值、 信息類別、保密性、完整性、可用性、法律法規(guī)合同及其它要求的符合性方面進(jìn) 行分類賦值，綜合考慮資產(chǎn)在自身價值、保密性、完整性、可用性和法律法規(guī)合 同上的達(dá)成程度，在此基礎(chǔ)上得出綜合結(jié)果，根據(jù)

2、制定的重要資產(chǎn)評價準(zhǔn)則，確 定重要資產(chǎn)。對信息資產(chǎn)的威脅及薄弱點進(jìn)行識別，并對威脅利用薄弱點發(fā)生安全事件的 可能性，以及在資產(chǎn)自身價值、保密性、完整性、可用性、法律法規(guī)合同的符合 性方面的潛在影響，并考慮現(xiàn)有的控制措施，進(jìn)行賦值分析，確定風(fēng)險等級和接 受程度。資產(chǎn)(Asset)是組織要保護(hù)的資產(chǎn)，它包括硬件、軟件、系統(tǒng)、數(shù)據(jù)、文 檔、服務(wù)、人力資源等。威脅(Threat)是指可能對資產(chǎn)或組織造成損害的事故的潛在原因。它可能 是人為的，也可能是非人為的；可能是無意失誤，也可能是惡意攻擊。薄弱點(Vulnerability)是指資產(chǎn)或資產(chǎn)組中能被威脅利用的弱點。它們 不直接對資產(chǎn)造成危害，但薄弱點

3、可能被環(huán)境中的威脅所利用從而危害資產(chǎn)的安 全。風(fēng)險(Risk)是特定的威脅利用資產(chǎn)的一種或一組薄弱點，導(dǎo)致資產(chǎn)的丟失 或損害的潛在可能性，即特定威脅事件發(fā)生的可能性與后果的結(jié)合。資產(chǎn)、威脅、 薄弱點及控制的任何變化都可能帶來風(fēng)險的變化，因此，為了降低安全風(fēng)險，應(yīng) 對環(huán)境或系統(tǒng)的變化進(jìn)行監(jiān)視以便及時采取有效措施加以控制或防范?？刂拼胧?Controls)是阻止威脅、降低風(fēng)險、控制事故影響、檢測事故及 實施恢復(fù)的一系列實踐、程序或機(jī)制。在風(fēng)險計算時，考慮了資產(chǎn)的重要程度，威脅利用薄弱點導(dǎo)致安全事件發(fā)生 的可能性，安全事件一旦發(fā)生對資產(chǎn)的影響程度，以及己采取控制措施的有效性。 根據(jù)所計算的風(fēng)險值確定

4、風(fēng)險等級，并對所有風(fēng)險計算結(jié)果進(jìn)行等級處理。綜合考慮風(fēng)險控制成本與風(fēng)險造成的影響，制定了風(fēng)險接受準(zhǔn)則。對可接受 風(fēng)險，保持已有的安全措施；對不可接受風(fēng)險，則采取安全措施以降低、控制風(fēng) 險。具體的方法，見信息安全風(fēng)險識別與評價管理程序。評估過程：本公司在建立信息安全管理體系的過程中，確定了風(fēng)險評估的系統(tǒng)范圍，依 據(jù)信息安全風(fēng)險識別與評價管理程序確定了風(fēng)險評估方法。在行政部的組織下，成立了本次風(fēng)險評估小組，編制了風(fēng)險評估計劃。通過 對各部門內(nèi)審員的階段式培訓(xùn)，根據(jù)風(fēng)險評估階段的工作計劃，共同按照下列步 驟完成了風(fēng)險評估工作：1）各部門對本部門的資產(chǎn)進(jìn)行了識別，并根據(jù)信息安全風(fēng)險識別與評價管理程序中

5、既定的原則對資產(chǎn)進(jìn)行了賦值，確定了重要資產(chǎn)；2）根據(jù)資產(chǎn)所處的環(huán)境進(jìn)行了威脅的識別；3）針對每一威脅所對應(yīng)的薄弱點進(jìn)行識別；4）對目前己有的安全控制進(jìn)行了確認(rèn)；5）針對每一威脅利用薄弱點對于資產(chǎn)價值、保密性、完整性、可用性、 合規(guī)性等方面造成的潛在影響進(jìn)行了評價。6）根據(jù)信息安全風(fēng)險識別與評價管理程序中風(fēng)險等級的評價原則, 確定了風(fēng)險的等級。在整個評估的過程中，風(fēng)險評估小組對于各部門內(nèi)審員進(jìn)行了現(xiàn)場的指導(dǎo), 對于采集的數(shù)據(jù)的準(zhǔn)確性、完整性、適宜性進(jìn)行了確認(rèn)。并對識別及評估的結(jié)果 進(jìn)行了整體的平衡。五、風(fēng)險評估概況1、本項目涉及的部門2、資產(chǎn)及風(fēng)險情況六、總結(jié)本次評估按照15027001:2013和TS027002的要求，由資產(chǎn)的所有者（各部 門風(fēng)險評估人員）進(jìn)行，通過以上風(fēng)險評估，本公司的主要信息資產(chǎn)為信息系統(tǒng) 數(shù)據(jù)、人員以及軟硬件；主要風(fēng)險為2級風(fēng)險，涉及信息系統(tǒng)安全管理方面、人 員