信息安全风险评估报告.docVIP

流水号：记录名：信息安全风险评估报告密级：内部

信息安全风险评估报告

风险评估目的

为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。

风险评估日期：

2025-1-20-2025-1-30

评估小组成员

张三、李四、王二

评估方法综述

首先由综合部牵头组建风险评估小组；

通过咨询公司对风险评估小组进行相关培训；

根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方法；

各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产清单；

对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级；

根据风险接受准则得出可接受风险，并根据标准GB/T22080-2016LTDISO/IEC27001:2013的附录A制定相关的风险控制措施；

对于可接受的剩余风险向公司领导汇报并得到批准。

风险评估概况

风险评估工作从2025-1-20日开始，至2025-1-30日止基本告一段落。主要工作过程如下：

日期

时间（天）

评估内容

8

部门进行资产识别，形成《资产清单》；

确定重要资产，形成《重要资产清单》。

5

进行重要资产风险评估，形成《资