信息安全风险评估报告.docxVIP

信息安全风险评估报告

本次评估针对某中型金融科技企业2024年上半年度信息安全现状开展，评估范围覆盖核心业务系统（消费信贷系统、支付清结算系统、用户信息管理系统）、云基础设施、办公网络、终端设备及第三方合作链路，覆盖12个业务部门、23家合作机构，评估周期为2024年3月15日至2024年4月30日。评估依据包括GB/T20984-2022《信息安全技术信息安全风险评估方法》、GB/T22239-2019《信息安全技术网络安全等级保护基本要求》第三级要求、《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及公司内部《信息安全管理规范》《数据分级分类管理制度》等12项内部制度。评估过程采用工具扫描、人工渗透测试、人员访谈、文档审计、数据流追踪、漏洞验证相结合的方式，累计扫描公网IP47个、内网IP段12个、业务应用32个、数据库17个、网络设备29台、终端设备1276台，访谈核心岗位人员72人，审计制度文档、操作日志共1200余份，确保评估结果真实准确。

一、资产识别与赋值

本次评估按照资产重要性、业务影响范围、数据敏感程度将所有资产分为极高价值、高价值、中价值、低价值四个等级，赋值规则为：极高价值资产（赋值100分）指一旦被破坏或泄露会造成核心业务瘫痪、重大资金损失、大规模用户敏感信息泄露的资产，包括核心业务系统、核心数据库、1247万