原创力文档- 1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
- 2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 4、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 5、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 6、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 7、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
博观而约取，厚积而薄发。——苏轼
运维服务项目-D20风险评估报告-模板
XX系统运维服务项目信息安全风险评估报告
文件编号：
当前版本：V1.0
编制：
审批：
生效日期：
信息安全风险评估报告
一、风险评估目的
针对公司为客户提供IT服务过程中的可能存在的风险进行评估，
并采取必要的措施，保证满足客户需求和公司的信息安全方针和目标。
二、风险评估日期
20XX-X-X
三、评估小组成员
XX、XX、XXX
四、评估方法
本次信息安全风险评估采用定量的方法对资产进行识别，并对资
产自身价值、信息类别、保密性、完整性、可用性、法律法规合同及
其它要求的符合性方面进行分类赋值，综合考虑资产在自身价值、保
密性、完整性、可用性和法律法规合同上的达成程度，在此基础上得
出综合结果，根据制定的重要资产评价准则，确定重要资产。
对信息资产的威胁及薄弱点进行识别，并对威胁利用薄弱点发生
安全事件的可能性，以及在资产自身价值、保密性、完整性、可用性、
法律法规合同的符合性方面的潜在影响，并考虑现有的控制措施，进
行赋值分析，确定风险等级和接受程度。
资产（Asset）是组织要保护的资产，它包括硬件、软件、系统、
数据、文档、服务、人力资源等。
威胁（Threat）是指可能对资产或组织造成损害的事故的潜在原
因。它可能是人为的，也可能是非人为的；可能是无意失误，也可能
非淡泊无以明志，非宁静无以致远。——诸葛亮
是恶意攻击。
薄弱点（Vulnerability）是指资产或资产组中能被威胁利用的弱
点。它们不直接对资产造成危害，但薄弱点可能被环境中的威胁所利
用从而危害资产的安全。
风险（Risk）是特定的威胁利用资产的一种或一组薄弱点，导致
资产的丢失或损害的潜在可能性，即特定威胁事件发生的可能性与后
果的结合。资产、威胁、薄弱点及控制的任何变化都可能带来风险的
变化，因此，为了降低安全风险，应对环境或系统的变化进行监视以
便及时采取有效措施加以控制或防范。
控制措施（Controls）是阻止威胁、降低风险、控制事故影响、
检测事故及实施恢复的一系列实践、程序或机制。
在风险计算时，考虑了资产的重要程度，威胁利用薄弱点导致安
全事件发生的可能性，安全事件一旦发生对资产的影响程度，以及已
采取控制措施的有效性。根据所计算的风险值确定风险等级，并对所
有风险计算结果进行等级处理。
综合考虑风险控制成本与风险造成的影响，制定了风险接受准则。
对可接受风险，保持已有的安全措施；对不可接受风险，则采取安全
措施以降低、控制风险。
五、评估过程
在项目工程部的组织下，成立了本次风险评估小组，编制了风险
评估计划。通过对各部门内审员的阶段式培训，根据风险评估阶段的
工作计划，共同按照下列步骤完成了风险评估工作：
1）各部门对本部门的资产进行了识别，并根据《信息安全风险识
别与评价管理程序》中既定的原则对资产进行了赋值，确定了重要资
产；
2）根据资产所处的环境进行了威胁的识别；
3）针对每一威胁所对应的薄弱点进行识别；
4）对目前已有的安全控制
文档评论（0）