信息安全风险评估分析报告.docVIP

XXXXX企业 信息安全风险评定汇报 历史版本编制、审核、同意、公布实施、分发信息统计表 版本号 编制人/ 创建日期 审核人/ 审核日期 同意人/ 同意日期 公布日期/ 实施日期 分发编号 V1.0 XXXX .2.16 XXXX .2.16 XXXX .2.16 /2/16 原稿 V1.1 XXX .9.15 XXXX .9.15 XXXX .9.15 /9/15 修订稿 / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / 风险项目综述 企业名称: XXXXX企业 企业概况：XXXXX企业是一家致力于计算机软件产品开发和销售、计算机信息系统集成及技术支持和服务企业。 ISMS方针：预防为主，共筑信息安全；完善管理，赢得用户信赖。 ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务信息安全管理。 风险评定目标 为了在考虑控制成本和风险平衡前提下选择适宜控制目标和控制方法，将信息安全风险控制在可接收水平,进行此次风险评定。 风险评定日期： -9-10至-9-15 评定小组组员 XXXXXXX。 评定方法综述 首先由信息安全管理小组牵头组建风险评定小组； 经过咨询企业对风险评定小组进行相关培训； 依据我们信息安全方针、范围制订信息安全风险管理程序，以这个程序作为我们风险评定依据和方法； 各部门识别全部业务步骤，并依据这些业务步骤进行资产识别，对识别资产进行打分形成关键资产清单； 对每个关键资产进行威胁、脆弱性识别并打分，并以此得到资产风险等级； 依据风险接收准则得出不可接收风险，并依据标准ISO27001:附录A制订相关风险控制方法； 对于可接收剩下风险向企业领导汇报并得到同意。 风险评定概况 依据第一阶段审核结果，修订了信息安全风险管理程序，依据新修订程序文件，再次进行了风险评定工作从9月10日开始进入风险评定阶段，到9月15日止基础工作告一段落。关键工作过程以下： -9-10 ~ -9-10，风险评定培训； -9-11 ~ -9-11，企业评定小组制订《信息安全风险管理程序》，制订系统化风险评定方法； -9-12 ~ -9-12，本企业各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类； -9-13 ~ -9-13，本企业各部门编写风险评定表，识别信息资产脆弱性和面临威胁，评定潜在风险，并在ISMS工作组内审核； -9-14 ~ -9-14，本企业各部门实施人员、部门领导或其指定代表人员一起审核风险评定表； 6. -9-15 ~ -9-15，各部门修订风险评定表，识别重大风险，制订控制方法；ISMS工作组组织审核，并最终汇总形成本汇报。 . 七. 风险评定结果统计 此次风险评定情况详见各部门“风险评定表”，其中共识别出资产190个，关键资产115个，信息安全风险115个，不可接收风险42个. 表1 资产面临威胁和脆弱性汇总表 资产分类 威胁 脆弱性名称 文档资产 丢失 存放不妥造成无法检索 文件管理不妥 泄密 职员信息保密意识不够 没有设置登录口令 涉密信息无加密方法 火灾 易燃烧 偷窃 文件存放区域防护不妥 数据资产 丢失 存放不妥造成无法检索 没有进行备份 误操作将其删除 泄密 职员信息保密意识不够 电脑没有设置登录口令或屏幕保护 文件未进行加密 权限设置不合理 篡改 无备份策略 非法访问 弱身份验证机制 恶意代码和病毒 未安装杀毒软件 杀毒软件设置不合理 杀毒软件未立即更新 对网站下载或上传控制不妥 软件资产 恶意代码和网络攻击 软件存在漏洞 未立即安装补丁 运行故障、意外错误 设计缺点，使用、保护方法不妥 未立即安装补丁 信息丢失 无备份 恶意代码和病毒 未安装杀毒软件 杀毒软件设置不合理 杀毒软件未立即更新 对网站下载或上传控制不妥 软件故障 设计缺点，使用、保护方法不妥 非法访问 弱身份验证机制 泄密 职员信息保护意识不够 没有设置登录口令 权限设置不合理 涉密信息无加密方法 硬件资产 非授权使用 设备物理保护方法不妥 设备故障 设备使用和管理不妥 丢失 设备管理不妥 保管不善 非法访问、网络攻击 防火墙或入侵检测软件配置不合理 权限设置不合理 弱身份验证机制 恶意代码、病毒 杀毒软件更新不立即 杀毒软件设置不正确 没有安装入侵检测软件 断电 UPS连续时间不能满足要求 UPS不能定时维护 异常断电 设备维护不妥 储存电能不够 设计缺点 线路不通 布线不规范 服务资产 非法访问、网络攻击 防火墙或入侵检测软件配置不合理 权限设置不合理 弱身份验证机制 恶意代码、病毒 杀毒软件更新不立即 杀毒软件设置不正确 没有安装入侵检测