2025 风险评估表_模板(1).xlsxVIP

3.2威胁脆弱性列表 返回目录

资产类别 威胁 脆弱性 风险描述

硬件资产

计算机设备:大型机、小型机、服务器、工作站、台式计算机、便携计算机等 管理不到位，制度执行不严格 缺少明确的域管理策略 工作计算机没有统一加入公司管理域，DC管理功能不能正常发挥，不能有效管理客户端环境的风险

非授权使用计算机 缺少统一的桌面管理策略 工作计算机没有统一设置屏保和使用密码恢复桌面，造成非授权使用的风险

非授权安装软件 没有明确的授权使用软件列表 工作计算机、笔记本使用的授权软件没有统一明确的列表和要求，非授权安装软件的风险。

USB端口被非法使用 USB端口未做安全处理 计算机USB端口没有控制，利用USB端口非授权复制数据的风险

机箱被非法开启 机箱没有安全控制 机箱没有控制，造成信息泄露，硬件损坏不可用的风险

权限失控，非法操作 缺少明确的域管理策略 工作计算机本地管理员权限没有回收，个人有本地管理员权限，个人用户权限过大，难以控制的风险

服务器意外宕机 服务器缺乏冗余设计 服务器没有冗余，存在单点失败的风险

共用笔记本泄露信息 缺少笔记本管理规定 共用笔记本在借用时没有重新安装系统，归还时没有进行数据清理，共用笔记本管理失控的风险

非授权复制数据 缺少外借人员笔记本使用规定 外借人员笔记本监控不严格带来的风险

病毒、木马、黑客攻击 缺少笔记本管理规定 笔记本没有统一管理，病毒库、补丁等管理依靠个人习惯，感染公司内网计算机的风险

外来笔记本无限制使用 缺乏对外来笔记本电脑管理 外来人员笔记本无限制使用，带来的信息泄露的风险

笔记本硬盘数据容易导出 笔记本硬盘数据无加密处理 笔记本数据没有加密措施，带来的信息泄露风险

笔记本丢失 笔记本管理不严格，员工安全意识不够 由于笔记本丢失造成的信息泄露的风险

非法修改MAC地址 缺少明确的MAC地址管理规定 员工非授权修改MAC物理地址，造成的非授权接入网络

网络设备:路由器、网关、交换机 存在单点失效 核心设备没有双机热备 核心设备没有冗余设计，存在单点失败的风险

设备更换时，因没有配置备份，导致恢复时间过长 缺少设备配置文件备份 设备恢复时缺少备份的配置文件，造成恢复过慢的风险

设置错误导致系统故障 缺少变更管理规定 由于配置变更错误，造成的设备失效的风险

黑客利用系统漏洞攻击网络 补丁管理不及时 网络设备系统补丁打的不及时，造成的网络受到攻击的风险

黑客利用弱口令攻击网络 网络设备口令简单 设备远程管理用户口令简单，造成的网络设备受到攻击的风险

DOS等方式的网络攻击 缺少应急管理程序 网络设备受到DOS攻击，网络瘫痪，不能及时恢复网络服务的风险

不能准确判断端口连线 缺少网络设备和配线架端口明细表 网络设备端口没有文件化的明细表，查找相应网线时不能准确快速定位的风险

存储设备:光盘、U盘、,磁带机、磁盘阵列、磁带、软盘、移动硬盘等 存储介质物理环境不符合要求 存储介质管理不当 存储介质损坏，不能使用的风险

U盘，软盘等移动介质丢失 缺少明确移动介质管理规定 存储介质丢失，造成的信息泄露的风险

报废的储存介质未处理 报废储存介质处理不当 报废的存储介质，如U盘、硬盘等处理不当，造成的信息泄露的风险

数据或者软件被非法刻录 光盘刻录没有审批制度 公司刻录光盘没有相应的管理规定

保障设备:UPS、变电设备、空调、保险柜、文件柜、门禁、消防设施，缆线等 UPS不能提供有效电力供应 UPS缺乏定期检测 没有采用UPS

因温湿度超常，导致设备瘫痪 空调系统检查不足 空调失效，造成温度湿度异常，系统宕机的风险

因电力异常，导致设备故障 供电系统问题 电力异常造成的设备损坏的风险

电力中断 电力单路 由于停电，只有单路电力供应，造成的网络和系统不能工作的风险

雷击 避雷系统问题 因雷击导致设备故障的风险

门禁失效 门襟系统缺乏每日的检测 门禁系统失效带来无法管理人员进出的风险

停电导致门禁失效，人员出入无控制 缺少应急响应程序 门禁系统失效，造成的人员进出混乱的风险

火灾 不遵守机房管理规定 易燃物品存放带来的火灾的风险

火警报警系统失灵不能及时报警 报警系统缺乏检查和测试 防火系统报警失效带来的火灾的风险

消防系统故障 没有消防和应付灾难的应急演练计划和演习 消防系统无检测、无演练带来的火灾风险

消防系统非法及误操作 消防系统启动装置缺乏安全管理控制 消防系统误启动，带来的人员伤亡的风险

灭火设备失效 灭火设备缺乏定期检验 灭火器失效带来的不能有效灭火的风险

消防区域及UPS区域无监控 消防区域及UPS区域缺少监控 消防区域没有监控，不能及时发现火灾的风险

消防通道阻塞 未严格执行消防规则 消防通道不