XX有限公司版本文件編號生效日期A0XXXXPAGE2信息安全風險評估報告和風險處理計劃版本更改類型生效日期更改內(nèi)容會簽部門：品質：工程：采購：業(yè)務：研發(fā)：IT：生產(chǎn)：PMC：行政：財務：制作：審核：批準：一、實施范圍和時間本公司信息安全管理體系所涉及的相關部門以及相關業(yè)務活動。本此風險評估的實施時間為XXXX年XX月XX日至XXXX年XX月XX日。二、風險評估方法參照ISO/IEC27001和ISO/IEC27002標準，以及《信息安全技術信息安全風險評估規(guī)范》(GB/T20984-2007)等，依據(jù)公司的《信息安全風險評估管理程序》(版本號：)確定的評估方法。三、風險評估工作組經(jīng)信息安全領導辦公室(或委員會)批準，此次風險評估工作成員如下：評估工作組組長：XXX評估工作組成員：XXXX、XXXX……四、風險評估結果4.1 信息資產(chǎn)清單各部門的信息資產(chǎn)清單見部門信息資產(chǎn)清單。4.2重要資產(chǎn)面臨威脅和脆弱性匯總重要資面臨的威脅和脆弱性分別見附件一和附件二。4.3風險結果統(tǒng)計本次風險評估，共識別出信息安全風險XX個，不可接受的風險XX個，具體如下：風險等級種類個數(shù)說明很高不可接受風險高中等低可接受風險很低五、風險處理計劃風險處理計劃見附件三六、附件：附件一：重要資產(chǎn)面臨的威脅匯總表表1-1：重要硬件資產(chǎn)威脅識別表重要資產(chǎn)威脅識別表－－硬件資產(chǎn)資產(chǎn)名稱資產(chǎn)描述威脅類部門臺式機網(wǎng)關/SVN服務器Bugzilla/FTP/Web服務器Trac服務器操作失誤濫用權限系統(tǒng)漏洞攻擊設備硬件故障社會工程威脅維護錯誤未授權訪問系統(tǒng)資源物理訪問失控電磁干擾系統(tǒng)負載過載機架式服務器Mail服務器操作失誤濫用權限系統(tǒng)漏洞攻擊設備硬件故障社會工程威脅維護錯誤未授權訪問系統(tǒng)資源物理訪問失控電磁干擾系統(tǒng)負載過載筆記本電腦木馬后門攻擊設備硬件故障網(wǎng)絡病毒傳播未授權訪問系統(tǒng)資源社會工程威脅臺式機木馬后門攻擊設備硬件故障網(wǎng)絡病毒傳播未授權訪問系統(tǒng)資源社會工程威脅表1-2重要應用系統(tǒng)資產(chǎn)威脅識別表重要資產(chǎn)威脅識別表－－應用系統(tǒng)序號資產(chǎn)名稱威脅類部門1SVN業(yè)務系統(tǒng)篡改用戶或業(yè)務數(shù)據(jù)信息控制和破壞用戶或業(yè)務數(shù)據(jù)濫用權限泄漏秘密信息數(shù)據(jù)篡改探測竊密未授權訪問未授權訪問系統(tǒng)資源用戶或業(yè)務數(shù)據(jù)的竊取2Iptables防火墻系統(tǒng)操作失誤訪問控制策略管理不當維護錯誤未授權訪問資源原發(fā)抵賴表1-3重要文檔和數(shù)據(jù)資產(chǎn)威脅識別表重要資產(chǎn)威脅識別表－－文檔和數(shù)據(jù)序號資產(chǎn)名稱威脅類部門1DVB-J項目開發(fā)資料濫用權限開發(fā)部未授權訪問資源2DVB-J項目開發(fā)文件濫用權限開發(fā)部未授權訪問資源3總務相關資料濫用權限總務部未授權訪問資源表1-4重要人力資源資產(chǎn)威脅識別表重要資產(chǎn)威脅識別表－－人力資源序號資產(chǎn)名稱威脅類部門1機房管理員社會工程威脅2服務器管理員社會工程威脅3社會工程威脅附件二：重要資產(chǎn)面臨的脆弱性匯總表表2-1重要資產(chǎn)脆弱性匯總表序號資產(chǎn)名稱脆弱性名稱1臺式機（Bugzilla/FTP/Web服務器）臺式機（網(wǎng)關/SVN服務器）臺式機（Trac服務器）安裝與維護缺乏管理操作系統(tǒng)補丁未及時安裝操作系統(tǒng)存在弱口令操作系統(tǒng)的口令策略沒有啟用操作系統(tǒng)的帳戶鎖定策略沒有啟用操作系統(tǒng)開放多余服務缺少電磁防護物理訪問控制欠缺設備性能不足2機架式服務器（Mail服務器）安裝與維護缺乏管理操作系統(tǒng)補丁未及時安裝操作系統(tǒng)存在弱口令操作系統(tǒng)的口令策略沒有啟用操作系統(tǒng)的帳戶鎖定策略沒有啟用操作系統(tǒng)開放多余服務缺少電磁防護物理訪問控制欠缺3筆記本電腦筆記本電腦操作系統(tǒng)補丁未安裝操作系統(tǒng)開放多余服務操作系統(tǒng)存在弱口令操作系統(tǒng)的口令策略沒有啟用病毒碼無法自動更新操作系統(tǒng)的帳戶鎖定策略沒有啟用4臺式機操作系統(tǒng)補丁未安裝病毒碼無法自動更新操作系統(tǒng)開放多余服務5SVN業(yè)務系統(tǒng)未設置用戶登錄失敗門限與超過門限后的處理措施無法保證用戶使用的口令達到一定的質量要求無法檢測存儲的重要信息、數(shù)據(jù)是否出現(xiàn)完整性錯誤重要信息、數(shù)據(jù)無加密措施，以明文傳輸6Iptables防火墻系統(tǒng)安全保障設備的其它配置不當安裝與維護缺乏管理缺少操作規(guī)程和職責管理未啟用日志功能7DVB-J項目開發(fā)資料沒有訪問控制策略或未實施信息資產(chǎn)沒有清晰的分類標志8DVB-J項目開發(fā)文件沒有訪問控制策略或未實施信息資產(chǎn)沒有清晰的分類標志9總務相關資料沒有訪問控制策略或未實施信息資產(chǎn)沒有清晰的分類標志10機房管理員沒有適當?shù)莫剳鸵?guī)則沒有正式的保密協(xié)議11服務器管理員沒有適當?shù)莫剳鸵?guī)則沒有正式的保密協(xié)議12總務經(jīng)理沒有適當?shù)莫剳鸵?guī)則沒有正式的保密協(xié)議附件三：風險處理計劃根據(jù)本次風險評估結果，對不可接受的風險進行處理。在選取控制措施和方法時，結合公司的財力、物力和資產(chǎn)的重要度等各種因素，制定如下風險處理計劃。該計劃已經(jīng)信息安全領導辦公室審核批準。風險處理計劃序號資產(chǎn)名稱風險風險處理選項風險處理措施責任人計劃完成時間1臺式機（網(wǎng)關/SVN服務器）臺式機（Bugzilla/FTP/Web服務器）機架式服務器（Mail服務器）操作系統(tǒng)補丁未及時安裝降低實施定期升級補丁物理訪問控制欠缺安裝機房門禁