风险评估工具.docxVIP

**网安资产识别工具 工作内容: .识别信息资产，进行合理分类; .确定每类信息资产的安全需求; 3.为每类信息资产的重要性赋值。 评估日志: 单位名称： 资产识别负责人： 评估人： 评估日期/时间： 信息资产赋值定义: 资产赋值 经综合考虑后的财务价值 对于业务的重要性级别 1 1?100元 1 2 101c 1, 000元 2 3 1,001 ?10,000元 3 4 10,001「 -100, 000 元 4 5 100,001 - 1,000, 000 元 5 6 1,000,001 「 -10,000 , 000 元 6 7 10,000,001， -100,000, 000 元 7 8 100,000,001 - 1,000,000 , 000 元 8 9 1,000,000,001， -10,000,000 , 000 元 9 10 10,000,000,001， -100,000,000 , 000 元 10 资产识别登记表 资产识别记录表 项目名称或编号 表格符号 资产识别活动信息 日期 起止时间 访谈者 访谈对象及说明 地点说明 记录信息 所属业务 业务编号 所属类别 类别编号 资产名称 资产编号 IP地址 物理位置  功能描述 机密性要求 完整性要求 可用性要求 重要程度 安全控制措施 负责人 备注 资产识别记录表 项目名称或编号 表格符号 资产识别活动信息 日期 起止时间 访谈者 访谈对象及说明 地点说明 记录信息 所属业务 业务编号 所属类别 类别编号 资产名称 资产编号 IP地址 物理位置 功能描述 机密性要求 完整性要求 可用性要求 重要程度 安全控制措施 负责人 备注 **网安威胁识别工具 工作内容： .威胁识别； .威胁分类; .威胁赋值; .构建威胁场景 评估日志: 单位名称： 资产识别负责人： 评估人： 评估日期/时间： 威胁来源值定义: 威胁来源危险性级别描述 威胁来源值 威胁源事例 动机 低风险：低攻击动机，低攻击 缺乏培训的内 无意错误、编程错误 能力 1 部员工 和数据录入错误等 中低风险：低攻击动机，高攻 挑战性、虚荣心或游 击能力 2 外部黑客 戏的心理 中等风险：高攻击动机，低攻 击能力 3 内部黑客 好奇或财务问题等 高风险：高攻击动机，高攻击 破坏信息、金钱驱动 能力 4 恶息攻击后 等 极高风险：极高攻击动机，高 攻击能力 5 恐怖分子 报复等 威胁影响程度赋值定义 影响程度值 定义 1 单个工作小组或部门受到影响，对企业经营过程没有或有非常轻微的影响 2 一个或更多的部门受到影响，对完成工作任务有轻微的延迟 3 两个或更多的部门或一个业务单元受到影响，对完成工作任务有 4到6个小 时的延迟 4 两个或更多的业务单元受到影响，对完成工作任务有 1到2天的延迟 5 企业的整个工作任务受到影响。 计算公式识别： t = ???+ ??? T = INT{ [ IS?=(???) ]/????+ ???? 威胁来源值Ts 影响程度值Ti 综合威胁值t 威胁统计记录工具 威胁统计表 资产编号 资产名称 （在此填入资产名称）  威胁编号 威胁类别 威胁子类 威胁名称 威胁来源值 Ts 影响程度值 Ti 综合威胁值 t 1 自然威胁 1.1 火灾 1.2 温度过热 1.3 地震 1.4 台风 1.5 灰尘 2 环境威胁 技术故障 2.1 断电 2.2 硬件故障 2.3 数据存储 介质失效 2.4 化学物质 泄露 2.5 漏水 3 人为威胁 管理缺陷 3.1 对使用没 有进行授 权管理 3.2 对资源使 用没有进  行控制 对笔记本 电脑用户 的改变没 有进行管 3.3 理 人为错误 因工作疏 忽而损坏 设备和数 3.4 据 违反安全 管理规章 3.5 制度 清洁工人 和第三方 职员导致 3.6 的损害 对信息系 统的不恰 3.7 当使用 故意行为  3.8 对设备或 附件的破 坏 3.9 对数据或 软件的篡 改 3.1 偷窃 3.11 未授权的 使用 3.12 计算机病 毒 3.13 计算机蠕 虫 3.14 木马程序 小计 汇总结果值 威胁人员访谈记录工具 威胁人员访谈记录表 项目名称或编P 表格编号 访谈活动信息 日期 起止时间 访谈者 访谈对象及说明  地点说明 记录信息 受损资产 资产描述和类别 现象描述 威胁主体 威胁来源 方式和途径 结果和影响 技术脆弱性 缺失或薄弱的控制措施 后续的补救措施 备注 威胁工具检测记录工具 威胁工具检测记录 项目名称或编P 表格编号 检测活动信息 日期 起止时间 检测者 配合人员 检测方■式 位置说明 记录信息 受损资产 资产描述和类别 现象描述  威胁主体 威胁来源 方式和途径 结果和影响 技术脆弱性 缺失或薄弱的控制措施