公司质量部信息安全风险评估记录.docxVIP

公司质量部信息安全风险评估记录

信息安全风险评估记录

一、风险背景

信息安全是一项日益重要的工作，随着数码化程度越来越高，信息技术的应用已经成为日常工作和生活的必要条件。通过对公司内部情况和外部威胁的分析，现在将针对公司的信息安全风险进行定性、定量描述，以便于建立针对性的风险应对措施。

二、风险影响

1、影响公司经济效益

一旦公司信息系统遭到攻击，容易导致公司在很短时间内无法正常运作，员工无法正常工作，导致生产、服务无法进行。这对公司的经济效益造成了巨大的负面影响。

2、泄露机密信息

公司积累了大量的客户和企业机密信息，如果这些信息被人获取，将导致公司声誉受到极大打击，严重者甚至会导致公司的破产和倒闭。

3、侵犯客户隐私

在公司运营中，很大一部分是与客户的数据交互和处理相关的，一旦这些数据遭到泄露或者被盗取，会对客户的隐私权产生严重的影响，给公司的声誉带来很大的负面影响。

三、风险评估

基于目前公司的信息技术设施、人员和应用服务等情况，对公司的风险进行分析,对以下几个方面进行评估：

1、安全场景

安全场景分为以下几类：

(1)计算机系统、网络提供商和企业信息系统、网络以及与之相关的应用软件,主要包括互联网服务提供商、网络组件、邮件系统、客户端应用、数据库管理系统等。

(2)内部人员和外部威胁，考虑到内部工作人员误操作、隐私被窃取、病毒和恶意软件的攻击等因素，以及外部黑客和其他威胁的攻击。

(3)物理设施，包括建筑结构、门锁、监控系统等。

2、风险描述

以下是对公司的风险进行描述：

(1)计算机系统的威胁：由于目前公司的计算机系统、网络设备、企业信息系统与相关应用软件的安全防护措施不够完善，存在着外部黑客入侵、病毒和恶意软件攻击、内部人员操作不当等问题。

(2)人员因素的威胁：公司内部存在着员工泄露机密、实施诈骗等问题。另外,由于公司的管理漏洞，公司员工有可能被利用，进而侵犯客户的隐私信息。

(3)物理设施的威胁：公司内部的建筑结构、门禁设施、监控系统等设施的安全防护措施不够完善，存在安全隐患。

3、风险等级

根据以上风险描述，对公司的风险等级进行定级：

(1)计算机系统的风险等级为高：由于计算机系统的安全防护不足，极易受到黑客入侵、病毒和恶意软件的攻击、内部人员误操作等问题的困扰。

(2)人员因素的风险等级为中等：尽管内部人员的监督和管理措施对公司内部信息的保护起到重要作用，但考虑到员工泄露机密、有意制造破坏、客户信息被窃取等问题的风险，这个风险等级被定在了中等。

(3)物理设施的风险等级为中等：目前公司的门禁设施、监控系统等物理设施的建设还存在一定缺陷，虽然不是非常严重，但也需要重视。

四、风险治理

为了全面控制公司可能面临的风险，公司需要制定以下措施：

1、加强安全防护，对计算机系统进行全面升级，加强内部人员对安全防范的教育和培训；

2、制定严格的员工背景调查和管理制度，加强对员工操作情况的监督和管理；

3、加强物理设施的安全防护，提升门禁设施和监控系统等物理设施的安全性。

以上是我公司针对信息安全风险的底层评估和风险治理措施。当前，安全保卫工作不仅仅是垂直方向上的工作，也需要各个职能部门的合力共同防范，做好公司的各项安全措施，确保公司信息系统的安全性、稳定性和可靠性。