- 1、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。。
- 2、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
- 4、该文档为VIP文档,如果想要下载,成为VIP会员后,下载免费。
- 5、成为VIP后,下载本文档将扣除1次下载权益。下载后,不支持退款、换文档。如有疑问请联系我们。
- 6、成为VIP后,您将拥有八大权益,权益包括:VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 7、VIP文档为合作方或网友上传,每下载1次, 网站将根据用户上传文档的质量评分、类型等,对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
博观而约取,厚积而薄发。——苏轼
运维服务项目-D20风险评估报告-模板
XX系统运维服务项目信息安全风险评估报告
文件编号:
当前版本:V1.0
编制:
审批:
生效日期:
信息安全风险评估报告
一、风险评估目的
针对公司为客户提供IT服务过程中的可能存在的风险进行评估,
并采取必要的措施,保证满足客户需求和公司的信息安全方针和目标。
二、风险评估日期
20XX-X-X
三、评估小组成员
XX、XX、XXX
四、评估方法
本次信息安全风险评估采用定量的方法对资产进行识别,并对资
产自身价值、信息类别、保密性、完整性、可用性、法律法规合同及
其它要求的符合性方面进行分类赋值,综合考虑资产在自身价值、保
密性、完整性、可用性和法律法规合同上的达成程度,在此基础上得
出综合结果,根据制定的重要资产评价准则,确定重要资产。
对信息资产的威胁及薄弱点进行识别,并对威胁利用薄弱点发生
安全事件的可能性,以及在资产自身价值、保密性、完整性、可用性、
法律法规合同的符合性方面的潜在影响,并考虑现有的控制措施,进
行赋值分析,确定风险等级和接受程度。
资产(Asset)是组织要保护的资产,它包括硬件、软件、系统、
数据、文档、服务、人力资源等。
威胁(Threat)是指可能对资产或组织造成损害的事故的潜在原
因。它可能是人为的,也可能是非人为的;可能是无意失误,也可能
非淡泊无以明志,非宁静无以致远。——诸葛亮
是恶意攻击。
薄弱点(Vulnerability)是指资产或资产组中能被威胁利用的弱
点。它们不直接对资产造成危害,但薄弱点可能被环境中的威胁所利
用从而危害资产的安全。
风险(Risk)是特定的威胁利用资产的一种或一组薄弱点,导致
资产的丢失或损害的潜在可能性,即特定威胁事件发生的可能性与后
果的结合。资产、威胁、薄弱点及控制的任何变化都可能带来风险的
变化,因此,为了降低安全风险,应对环境或系统的变化进行监视以
便及时采取有效措施加以控制或防范。
控制措施(Controls)是阻止威胁、降低风险、控制事故影响、
检测事故及实施恢复的一系列实践、程序或机制。
在风险计算时,考虑了资产的重要程度,威胁利用薄弱点导致安
全事件发生的可能性,安全事件一旦发生对资产的影响程度,以及已
采取控制措施的有效性。根据所计算的风险值确定风险等级,并对所
有风险计算结果进行等级处理。
综合考虑风险控制成本与风险造成的影响,制定了风险接受准则。
对可接受风险,保持已有的安全措施;对不可接受风险,则采取安全
措施以降低、控制风险。
五、评估过程
在项目工程部的组织下,成立了本次风险评估小组,编制了风险
评估计划。通过对各部门内审员的阶段式培训,根据风险评估阶段的
工作计划,共同按照下列步骤完成了风险评估工作:
1)各部门对本部门的资产进行了识别,并根据《信息安全风险识
别与评价管理程序》中既定的原则对资产进行了赋值,确定了重要资
产;
2)根据资产所处的环境进行了威胁的识别;
3)针对每一威胁所对应的薄弱点进行识别;
4)对目前已有的安全控制
文档评论(0)