信息安全風(fēng)險評估報告和風(fēng)險處理計劃

XX有限公司版本文件編號生效日期A0XXXXPAGE2信息安全風(fēng)險評估報告和風(fēng)險處理計劃版本更改類型生效日期更改內(nèi)容會簽部門：品質(zhì)：工程：采購：業(yè)務(wù)：研發(fā)：IT：生產(chǎn)：PMC：行政：財務(wù)：制作：審核：批準(zhǔn)：一、實(shí)施范圍和時間本公司信息安全管理體系所涉及的相關(guān)部門以及相關(guān)業(yè)務(wù)活動。本此風(fēng)險評估的實(shí)施時間為XXXX年XX月XX日至XXXX年XX月XX日。二、風(fēng)險評估方法參照ISO/IEC27001和ISO/IEC27002標(biāo)準(zhǔn)，以及《信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》(GB/T20984-2007)等，依據(jù)公司的《信息安全風(fēng)險評估管理程序》(版本號：)確定的評估方法。三、風(fēng)險評估工作組經(jīng)信息安全領(lǐng)導(dǎo)辦公室(或委員會)批準(zhǔn)，此次風(fēng)險評估工作成員如下：評估工作組組長：XXX評估工作組成員：XXXX、XXXX……四、風(fēng)險評估結(jié)果4.1 信息資產(chǎn)清單各部門的信息資產(chǎn)清單見部門信息資產(chǎn)清單。4.2重要資產(chǎn)面臨威脅和脆弱性匯總重要資面臨的威脅和脆弱性分別見附件一和附件二。4.3風(fēng)險結(jié)果統(tǒng)計本次風(fēng)險評估，共識別出信息安全風(fēng)險XX個，不可接受的風(fēng)險XX個，具體如下：風(fēng)險等級種類個數(shù)說明很高不可接受風(fēng)險高中等低可接受風(fēng)險很低五、風(fēng)險處理計劃風(fēng)險處理計劃見附件三六、附件：附件一：重要資產(chǎn)面臨的威脅匯總表表1-1：重要硬件資產(chǎn)威脅識別表重要資產(chǎn)威脅識別表－－硬件資產(chǎn)資產(chǎn)名稱資產(chǎn)描述威脅類部門臺式機(jī)網(wǎng)關(guān)/SVN服務(wù)器Bugzilla/FTP/Web服務(wù)器Trac服務(wù)器操作失誤濫用權(quán)限系統(tǒng)漏洞攻擊設(shè)備硬件故障社會工程威脅維護(hù)錯誤未授權(quán)訪問系統(tǒng)資源物理訪問失控電磁干擾系統(tǒng)負(fù)載過載機(jī)架式服務(wù)器Mail服務(wù)器操作失誤濫用權(quán)限系統(tǒng)漏洞攻擊設(shè)備硬件故障社會工程威脅維護(hù)錯誤未授權(quán)訪問系統(tǒng)資源物理訪問失控電磁干擾系統(tǒng)負(fù)載過載筆記本電腦木馬后門攻擊設(shè)備硬件故障網(wǎng)絡(luò)病毒傳播未授權(quán)訪問系統(tǒng)資源社會工程威脅臺式機(jī)木馬后門攻擊設(shè)備硬件故障網(wǎng)絡(luò)病毒傳播未授權(quán)訪問系統(tǒng)資源社會工程威脅表1-2重要應(yīng)用系統(tǒng)資產(chǎn)威脅識別表重要資產(chǎn)威脅識別表－－應(yīng)用系統(tǒng)序號資產(chǎn)名稱威脅類部門1SVN業(yè)務(wù)系統(tǒng)篡改用戶或業(yè)務(wù)數(shù)據(jù)信息控制和破壞用戶或業(yè)務(wù)數(shù)據(jù)濫用權(quán)限泄漏秘密信息數(shù)據(jù)篡改探測竊密未授權(quán)訪問未授權(quán)訪問系統(tǒng)資源用戶或業(yè)務(wù)數(shù)據(jù)的竊取2Iptables防火墻系統(tǒng)操作失誤訪問控制策略管理不當(dāng)維護(hù)錯誤未授權(quán)訪問資源原發(fā)抵賴表1-3重要文檔和數(shù)據(jù)資產(chǎn)威脅識別表重要資產(chǎn)威脅識別表－－文檔和數(shù)據(jù)序號資產(chǎn)名稱威脅類部門1DVB-J項(xiàng)目開發(fā)資料濫用權(quán)限開發(fā)部未授權(quán)訪問資源2DVB-J項(xiàng)目開發(fā)文件濫用權(quán)限開發(fā)部未授權(quán)訪問資源3總務(wù)相關(guān)資料濫用權(quán)限總務(wù)部未授權(quán)訪問資源表1-4重要人力資源資產(chǎn)威脅識別表重要資產(chǎn)威脅識別表－－人力資源序號資產(chǎn)名稱威脅類部門1機(jī)房管理員社會工程威脅2服務(wù)器管理員社會工程威脅3社會工程威脅附件二：重要資產(chǎn)面臨的脆弱性匯總表表2-1重要資產(chǎn)脆弱性匯總表序號資產(chǎn)名稱脆弱性名稱1臺式機(jī)（Bugzilla/FTP/Web服務(wù)器）臺式機(jī)（網(wǎng)關(guān)/SVN服務(wù)器）臺式機(jī)（Trac服務(wù)器）安裝與維護(hù)缺乏管理操作系統(tǒng)補(bǔ)丁未及時安裝操作系統(tǒng)存在弱口令操作系統(tǒng)的口令策略沒有啟用操作系統(tǒng)的帳戶鎖定策略沒有啟用操作系統(tǒng)開放多余服務(wù)缺少電磁防護(hù)物理訪問控制欠缺設(shè)備性能不足2機(jī)架式服務(wù)器（Mail服務(wù)器）安裝與維護(hù)缺乏管理操作系統(tǒng)補(bǔ)丁未及時安裝操作系統(tǒng)存在弱口令操作系統(tǒng)的口令策略沒有啟用操作系統(tǒng)的帳戶鎖定策略沒有啟用操作系統(tǒng)開放多余服務(wù)缺少電磁防護(hù)物理訪問控制欠缺3筆記本電腦筆記本電腦操作系統(tǒng)補(bǔ)丁未安裝操作系統(tǒng)開放多余服務(wù)操作系統(tǒng)存在弱口令操作系統(tǒng)的口令策略沒有啟用病毒碼無法自動更新操作系統(tǒng)的帳戶鎖定策略沒有啟用4臺式機(jī)操作系統(tǒng)補(bǔ)丁未安裝病毒碼無法自動更新操作系統(tǒng)開放多余服務(wù)5SVN業(yè)務(wù)系統(tǒng)未設(shè)置用戶登錄失敗門限與超過門限后的處理措施無法保證用戶使用的口令達(dá)到一定的質(zhì)量要求無法檢測存儲的重要信息、數(shù)據(jù)是否出現(xiàn)完整性錯誤重要信息、數(shù)據(jù)無加密措施，以明文傳輸6Iptables防火墻系統(tǒng)安全保障設(shè)備的其它配置不當(dāng)安裝與維護(hù)缺乏管理缺少操作規(guī)程和職責(zé)管理未啟用日志功能7DVB-J項(xiàng)目開發(fā)資料沒有訪問控制策略或未實(shí)施信息資產(chǎn)沒有清晰的分類標(biāo)志8DVB-J項(xiàng)目開發(fā)文件沒有訪問控制策略或未實(shí)施信息資產(chǎn)沒有清晰的分類標(biāo)志9總務(wù)相關(guān)資料沒有訪問控制策略或未實(shí)施信息資產(chǎn)沒有清晰的分類標(biāo)志10機(jī)房管理員沒有適當(dāng)?shù)莫剳鸵?guī)則沒有正式的保密協(xié)議11服務(wù)器管理員沒有適當(dāng)?shù)莫剳鸵?guī)則沒有正式的保密協(xié)議12總務(wù)經(jīng)理沒有適當(dāng)?shù)莫剳鸵?guī)則沒有正式的保密協(xié)議附件三：風(fēng)險處理計劃根據(jù)本次風(fēng)險評估結(jié)果，對不可接受的風(fēng)險進(jìn)行處理。在選取控制措施和方法時，結(jié)合公司的財力、物力和資產(chǎn)的重要度等各種因素，制定如下風(fēng)險處理計劃。該計劃已經(jīng)信息安全領(lǐng)導(dǎo)辦公室審核批準(zhǔn)。風(fēng)險處理計劃序號資產(chǎn)名稱風(fēng)險風(fēng)險處理選項(xiàng)風(fēng)險處理措施責(zé)任人計劃完成時間1臺式機(jī)（網(wǎng)關(guān)/SVN服務(wù)器）臺式機(jī)（Bugzilla/FTP/Web服務(wù)器）機(jī)架式服務(wù)器（Mail服務(wù)器）操作系統(tǒng)補(bǔ)丁未及時安裝降低實(shí)施定期升級補(bǔ)丁物理訪問控制欠缺安裝機(jī)房門禁