项目名称： XXX风险评估报告被评估公司单位： XXX有限公司
参与评估部门：XXXX委员会
一、风险评估项目概述
1.1 工程项目概况
1.1.1 建设项目基本信息
1.2 风险评估实施单位基本情况
二、风险评估活动概述
2.1 风险评估工作组织管理
描述本次风险评估工作的组织体系（含评估人员构成）、工作原则和采取的保密措施。
2.2 风险评估工作过程
本次评估供耗时2天，采取抽样的的方式结合现场的评估，涉及了公司所有部门及所有的产品，已经包括了位于公司地址位置的相关产品。
2.3 依据的技术标准及相关法规文件
2.4 保障与限制条件
需要被评估单位提供的文档、工作条件和配合人员等必要条件，以及可能的限制条件。
三、评估对象
3.1 评估对象构成与定级
3.1.1 网络结构
根据提供的网络拓扑图，进行结构化的审核。
3.1.2 业务应用
本公司涉及的数据中心运营及服务活动。
3.1.3 子系统构成及定级
N/A
3.2 评估对象等级保护措施
按照工程项目安全域划分和保护等级的定级情况，分别描述不同保护等级保护范围内的子系统各自所采取的安全保护措施，以及等级保护的测评结果。
根据需要，以下子目录按照子系统重复。
3.2.1XX子系统的等级保护措施
根据等级测评结果，XX子系统的等级保护管理措施情况见附表一。
根据等级测评结果，XX子系统的等级保护技术措施情况见附表二。
四、资产识别与分析
4.1 资产类型与赋值
4.1.1资产类型
按照评估对象的构成，分类描述评估对象的资产构成。详细的资产分类与赋值，以附件形式附在评估报告后面，见附件3《资产类型与赋值表》。
4.1.2资产赋值
填写《资产赋值表》。
6.2. 资产赋值判断准则
对资产的赋值不仅要考虑资产的经济价值，更重要的是要考虑资产的安全状况对于系统或组织的重要性，由资产在其三个安全属性上的达成程度决定。
资产赋值的过程也就是对资产在机密性、完整性和可用性上的达成程度进行分析，并在
此基础上得出综合结果的过程。达成程度可由安全属性缺失时造成的影响来表示，这种影响可能造成某些资产的损害以至危及信息系统，还可能导致经济效益、市场份额、组织形象的损失。
6.2.1. 机密性赋值
根据资产在机密性上的不同要求，将其分为三个不同的等级，分别对应资产在机密性上
应达成的不同程度或者机密性缺失时对整个组织的影响。
6.2.2. 完整性赋值
根据资产在完整性上的不同要求，将其分为三个不同的等级，分别对应资产在完整性上
6.2.3. 可用性赋值
根据资产在可用性上的不同要求，将其分为三个不同的等级，分别对应资产在可用性上的达成的不同程度。
6.2.4. 资产重要性等级
资产价值（V）＝机密性价值（C）＋完整性价值（I）＋可用性价值（A）
资产等级：
4.2 重要资产清单及说明
在分析被评估系统的资产基础上，列出对评估单位十分重要的资产，作为风险评估的重点对象，并以清单形式列出如下：
五、威胁识别与分析
对威胁来源（内部/外部；主观/不可抗力等）、威胁方式、发生的可能性，
5.1 威胁数据采集
5.2 威胁描述与分析
依据《威胁赋值表》，对资产进行威胁源和威胁行为分析。
5.2.1 威胁源分析
填写《威胁源分析表》。
5.2.2 威胁行为分析
填写《威胁行为分析表》。
5.2.3 威胁能量分析
5.3 威胁赋值
威胁发生可能性等级对照表
说明：
判断威胁出现的频率是威胁识别的重要工作，评估者应根据经验和（或）有关的统计数据来进行判断。在风险评估过程中，还需要综合考虑以下三个方面，以形成在某种评估环境中各种威胁出现的频率：
1) 以往安全事件报告中出现过的威胁及其频率的统计；
2) 实际环境中通过检测工具以及各种日志发现的威胁及其频率的统计；
3) 近一两年来国际组织发布的对于整个社会或特定行业的威胁及其频率统计，以及发布的威胁预警。
六、脆弱性识别与分析
按照检测对象、检测结果、脆弱性分析分别描述以下各方面的脆弱性检测结果和结果分析。
6.1 常规脆弱性描述
6.3 脆弱性综合列表
威胁发生可能性等级对照表
说明：
判断威胁出现的频率是威胁识别的重要工作，评估者应根据经验和（或）有关的统计数据来进行判断。在风险评估过程中，还需要综合考虑以下三个方面，以形成在某种评估环境中各种威胁出现的频率：
1) 以往安全事件报告中出现过的威胁及其频率的统计；
2) 实际环境中通过检测工具以及各种日志发现的威胁及其频率的统计；
3) 近一两年来国际组织发布的对于整个社会或特定行业的威胁及其频率统计，以及发布的威胁预警。
七、风险分析
7.1 关键资产的风险计算结果
信息安全风险矩阵计算表
说明：
在完成了资产识别、威胁识别、弱点识别，以及对已有安全措施确认后，将采用适当的方法确定威胁利用弱点导致安全事件发生的可能性，考虑安全事件一旦发生其所作用的资产的重要性及弱点的严重程度判断安全事件造成的损失对组织的影响，即安全风险。风险计算的方式如下，风险值＝弱点被利用可能性等级X 威胁利用弱点影响程度等级X 资产价值
信息安全风险接受准则
7.2.4 风险结果分析
八、综合分析与评价
通过综合的评估，公司现有的风险评估的结果是适宜的、充分的、有效的。
九、整改意见
1. 加强各部门对风险处理技巧的培训。
2. 对A级风险公司的处理需对各部门进行公示。
3. 对A级和B级风险采取适当的控制措施，编写入公司的三级文件进行控
制。
附件1：管理措施表
附件2：技术措施表
附件3：资产类型与赋值表
针对每一个系统或子系统，单独建表
附件4：威胁赋值表
1111单位:1111系统安全项目信息安全风险评估报告 我们单位名 日期
报告编写人: 日期： 批准人：日期： 版本号：第一版本日期 第二版本日期 终板
目录 1概述 (5) 1.1项目背景 (5) 1.2工作方法 (5) 1.3评估范围 (5) 1.4基本信息 (5) 2业务系统分析 (6) 2.1业务系统职能 (6) 2.2网络拓扑结构 (6) 2.3边界数据流向 (6) 3资产分析 (6) 3.1信息资产分析 (6) 3.1.1信息资产识别概述 (6) 3.1.2信息资产识别 (7) 4威胁分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 4.4威胁识别 (9) 5脆弱性分析 (9) 5.1脆弱性分析概述 (9) 5.2技术脆弱性分析 (10) 5.2.1网络平台脆弱性分析 (10) 5.2.2操作系统脆弱性分析 (10) 5.2.3脆弱性扫描结果分析 (10) 5.2.3.1扫描资产列表 (10) 5.2.3.2高危漏洞分析 (11) 5.2.3.3系统帐户分析 (11) 5.2.3.4应用帐户分析 (11)
5.3管理脆弱性分析 (11) 5.4脆弱性识别 (13) 6风险分析 (14) 6.1风险分析概述 (14) 6.2资产风险分布 (14) 6.3资产风险列表 (14) 7系统安全加固建议 (15) 7.1管理类建议 (15) 7.2技术类建议 (15) 7.2.1安全措施 (15) 7.2.2网络平台 (16) 7.2.3操作系统 (16) 8制定及确认................................................................................................................. 错误!未定义书签。9附录A：脆弱性编号规则.. (17)
XXXXXXXX信息系统 信息安全风险评估报告模板 项目名称： 项目建设单位： 风险评估单位： ****年**月**日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
1、风险评估概述 1.1风险评估概念 信息安全风险评估是参照风险评估标准和管理规，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。 1.2风险评估相关 资产，任何对组织有价值的事物。 威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。 脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。 风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。
风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，去顶资产风险等级和优先控制顺序。 2、风险评估的发展现状 2.1信息安全风险评估在美国的发展 第一阶段（60-70年代）以计算机为对象的信息阶段 1067年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作为第一次比较大规模的风险评估。 特点： 仅重点针对了计算机系统的性问题提出要求，对安全的评估只限于性，且重点在于安全评估，对风险问题考虑不多。 第二阶段（80-90年代）以计算机和网络为对象的信息系统安全保护阶段 评估对象多为产品，很少延拓至系统，婴儿在严格意义上扔不是全面的风险评估。 第三阶段（90年代末，21世纪初）以信息系统为对象的信息保障阶段 随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力明确来源于技术、管理和人员三个方面；逐步形成了风险评估、自评估、认证认可的工作思路。
XXXXXX工程 安全风险评估报告 Ⅰ.评估说明 一．通信网络安全风险评估概述： 为了加强网络安全管理，对于通信网络安全建设我们应当坚持光缆网络工程项目与通信网络安全保障设施同步建设，并与主体工程同步进行验收和投入运行；光缆网络工程的具体施工作业在制定技术方案时必须落实网络安全防护和技术保障措施；光缆网络工程施工作业必须严格执行工程建设标准强制性条文，满足网络安全要求等等基本原则。通信网络安全风险评估为建设项目安全验收提供科学依据，对建设项目未达到安全目标的系统或单元提出安全补偿及补救措施及后期整改建议。 二．通信网络安全风险评估技术标准依据： 1.YD/T 1742-2008 《接入网安全防护要求》 2.YD/T 1743-2008 《接入网安全防护检测要求》 3.YD/T 1744-2008 《传送网安全防护要求》 4.YD/T 1745-2008 《传送网安全防护检测要求》 三．通信网络安全风险评估目的、内容及范围： 1.评估目的与内容 1）通信网络安全风险评估的目的 通信网络安全风险评估是按照《通信网络安全防护管理方法》（工信部令第11号）第六条的要求，落实网络安全保障设施与主体工程同步建设、同步验收、同步投入使用及网络信息安全考核相关要求，在落实工程建设网络安全“三同步”工作时，按照下发的实施细则，确保网络安全“三同步”相关要求落到实处。为建设项目安全验收提供科学依据，对建设项目未达到安全目标的系统或单元提出安全补偿及补救措施，以利于提高建设项目本质安全程度，满足安全生产要求。 2）通信网络安全风险评估内容
检查建设项目中安全设施是否已与主体工程同时设计、同时施工、同时交付生产和使用；评价建设项目及与之配套的安全设施是否符合国家、行业有关安全生产的法规、规定和技术标准；从整体上评价建设项目的运行状态和安全管理是否正常、安全、可靠。 2.评估范围 根据本项目（线路部分）服务合同书的规定内容，经与建设单位商定：对通信施工当中的光缆线路防强电、光缆线路防雷、光缆线路防机械损伤、光缆线路防潮、光缆线路防鼠害、防飞禽等的安全风险评估。 四．通信网络安全风险评估的具体对象及评估的具体标准 1光缆线路防强电 （1）架空通信线路与电力输电线（除用户引入被复线外）交越时，通信线应在电力输电线下方通过并保持规定的安全隔距。且宜垂直通过,在困难情况下,其交越角度应不小于45度。 （2）架空通信线路与电力输电线（除用户引入被复线外）交越时,交越档两侧的架空光缆杆上吊线应做接地。 A架空通信线路与10KV及以上高压输电线交越时，在相邻电杆做延伸式地线，杆上地线在离地高2.0m处断开50mm的放电间隙。 B架空通信线路与电力输电线（除用户引入被复线外）交越时,两侧电杆上的人字拉线和四方拉线应在离地高2.0m处加装绝缘子，做电气断开。(选择路由时通信线路要避开在电力输电线两侧做终端杆或角杆) 。 （3）光缆的金属护套、金属加强芯在光缆接头盒处作电气断开。 （4）新设吊线每隔1公里左右作电气断开（加装绝缘子）。 （5）与380V和220V裸线交越时，如果隔距不够，相应电力线需换皮线。 （6）架空光缆线路(含墙壁式光缆)与电力线交越处，缆线套三线交叉保护套保护，每端最少伸出电力线外2米(垂直距离)。 （7）通信管道光缆与电力电缆同时并行时, 光缆可采用非金属加强芯或无金属构件的结构形式。 （8）在与强电线路平行地段进行光缆线路施工或检修时，应将光缆内的金属构件作临时接地。
XXXXX公司 信息安全风险评估报告 历史版本编制、审核、批准、发布实施、分发信息记录表
一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与服
务的企业。 3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。 4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。 二. 风险评估目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。 三. 风险评估日期： 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。 五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组； 2、通过咨询公司对风险评估小组进行相关培训； 3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方 法； 4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产 清单； 5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级； 6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施； 7、对于可接受的剩余风险向公司领导汇报并得到批准。 六. 风险评估概况 根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作
从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。主要工作过程如下： 1.2017-9-10 ~ 2017-9-10，风险评估培训； 2.2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法； 3.2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为 物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类； 4.2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在 风险，并在ISMS工作组内审核； 5.2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表； 6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作 组组织审核，并最终汇总形成本报告。 . 七. 风险评估结果统计 本次风险评估情况详见各部门“风险评估表”，其中共识别出资产190个，重要资产115个，信息安全风险115个，不可接受风险42个. 表1 资产面临的威胁和脆弱性汇总表
胜达集团 信息安全评估报告 (管理信息系统) 胜达集团 二零一六年一月
1目标 胜达集团信息安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。 2.2 评估范围 本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等， 管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。2.3 评估方法 采用自评估方法。 3重要资产识别 对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。 资产清单见附表1。 4安全事件 对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。安全事件列表见附表2。 5安全检查项目评估 5.1 规章制度与组织管理评估 5.1.1组织机构 5.1.1.1评估标准 信息安全组织机构包括领导机构、工作机构。 5.1.1.2现状描述 本局已成立了信息安全领导机构，但尚未成立信息安全工作机构。 5.1.1.3 评估结论
附件： 国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
xxxx有限公司 无线网络安全风险评估报告 xxxx有限公司 二零一八年八月
1.目标 xxxx有限公司无线网络安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 一.评估依据、范围和方法 1.1评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。 1.2评估范围 本次无线网络安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础无线网络信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、无线路由器、无线AP系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。
1.3评估方法 采用自评估方法。 2.重要资产识别 对本司范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总。 3.安全事件 对本司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。 4.无线网络安全检查项目评估 1.评估标准 无线网络信息安全组织机构包括领导机构、工作机构。岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。病毒管理包括计算机病毒防治管理制度、定期升
项目名称： XXX风险评估报告被评估公司单位： XXX有限公司 参与评估部门：XXXX委员会 一、风险评估项目概述 1.1 工程项目概况 1.1.1 建设项目基本信息
1.2 风险评估实施单位基本情况 二、风险评估活动概述 2.1 风险评估工作组织管理 描述本次风险评估工作的组织体系（含评估人员构成）、工作原则和采取的保密措施。 2.2 风险评估工作过程 本次评估供耗时2天，采取抽样的的方式结合现场的评估，涉及了公司所有部门及所有的产品，已经包括了位于公司地址位置的相关产品。 2.3 依据的技术标准及相关法规文件
2.4 保障与限制条件 需要被评估单位提供的文档、工作条件和配合人员等必要条件，以及可能的限制条件。 三、评估对象 3.1 评估对象构成与定级 3.1.1 网络结构 根据提供的网络拓扑图，进行结构化的审核。 3.1.2 业务应用 本公司涉及的数据中心运营及服务活动。 3.1.3 子系统构成及定级 N/A
3.2 评估对象等级保护措施 按照工程项目安全域划分和保护等级的定级情况，分别描述不同保护等级保护范围内的子系统各自所采取的安全保护措施，以及等级保护的测评结果。 根据需要，以下子目录按照子系统重复。 3.2.1XX子系统的等级保护措施 根据等级测评结果，XX子系统的等级保护管理措施情况见附表一。 根据等级测评结果，XX子系统的等级保护技术措施情况见附表二。 四、资产识别与分析 4.1 资产类型与赋值 4.1.1资产类型 按照评估对象的构成，分类描述评估对象的资产构成。详细的资产分类与赋值，以附件形式附在评估报告后面，见附件3《资产类型与赋值表》。 4.1.2资产赋值 填写《资产赋值表》。
安全风险评估报告 2020年3月
安全风险评估报告 单位名称: 评估报告时间: 一、消防安全管理单元 1场所合法性 评估结果: （1）本院在建筑物及相关室内装修工程依法通过了建设工基消防设计审核或设计备案、建设工程消防验收或竣工验收消防备案，并取得了相关法律文书或备案凭证。 （2）本院使用情况已经与消防验收或者进行竣工验收消防备案时确定的使用质相符。没有改变经公安机关消防机构审核合格或已依法备案的建设工程消防设计的。 （3）公众聚集场所已经依法通过了投入使用、营业前的消防安全检查,并获取了相关法律文书。 2消防安全责任制 评估结果: （1）建立消防管理组织机构,制定消防安全管理制度,建立逐级消防安全责任制,并明确各岗各级职责; （2）单位消防安全责任人和消防安全管理人的确立和变更是在当地
公安机关消防机构备案; 3人员资质管理 评估结果： (1)消防控制室值班人员没有持证上岗、正在筹备员工学习考证中; (2)消防安全责任人和消防安全管理人接受过消防安全专门培训; (3)新上岗和进入新岗位的员工接受过岗前的消防安全培训。 4消防档案 评估结果: （1）人员密集场所的管理单位是否建立了消防档案; （2）消防档案是否详实完整,全面反映消防工作基本情况,并附有必更图纸图表; （3）消防档案是否有专人管理,并按档案管理要求装江存放; （4）预案演练是否建立了记录（(包括相关的文字图片影像)并存档备查。 5消防安全培训及宣传教育 评估结果: （1）建立了消防安全培训及宣传教台制度，并按有关规定明确了责任部门、培训方式、频次及考核办法； （2）设置了消防安全告知牌、安全疏散培示图、消防设施标识、并定时播放消防安全广播和消防公益广告视频。 （3）消防安全培训及宣传教育建立记录并存档备查。 6防火检查、防火巡查
第3章业务系统信息安全风险评估方案 3.1 风险评估概述 3.1.1 背景 该业务系统风险评估的目标是评估业务系统的风险状况，提出风险控制建议，同时为下一步要制定的业务系统安全管理规范以及今后业务系统的安全建设和风险管理提供依据和建议。 需要指出的是，本评估报告中所指的安全风险针对的是现阶段该业务系统的风险状况，反映的是系统当前的安全状态。 3.1.2 范围 该业务系统风险评估范围包括业务系统网络、管理制度、使用或管理业务系统的相关人员以及由业务系统使用时所产生的文档、数据。 3.1.3 评估方式 信息系统具有一定的生命周期，在其生命中期内完成相应的使命。采取必要的安全保护方式使系统在其生命周期内稳定、可靠地运行是系统各种技术、管理应用的基本原则。 本项目的评估主要根据国际标准、国家标准和地方标准，从识别信息系统的资产入手，确定重要资产，针对重要资产分析其面临的安全威胁并识别其存在的脆弱性，最后综合评估系统的安全风险。 资产划分是风险评估的基础，在所有识别的系统资产中，依据资产在机密性、完整性和可用性安全属性的价值不同，综合判定资产重要性程度并将其划分为核心、关键、中等、次要和很低5个等级。 对于列为重要及以上等级的资产，分析其面临的安全威胁。 脆弱性识别主要从技术和管理两个层面，采取人工访谈。现场核查。扫描检测。渗透性测试等方式，找出系统所存在的脆弱性和安全隐患。 对重要资产已识别的威胁、脆弱性，根据其可能性和严重性，综合评估其安全风险。 3.2 该业务系统概况 3.2.1 该业务系统背景 近年来，由于数据量迅速增加，业务量也迅速增长，原先的硬件系统、应用系统和模式已渐渐不适应业务的需求，提升IT管理系统已经成为刻不容缓的事情。 经过仔细论证之后，信息决策部门在IT管理系统升级上达成如下共识：更换新的硬件设备，使用更先进和更强大的主机；在模式上为统一的集中式系统；在系统上用运行和维护效率较高的单库结构替换原有多库系统；在技术上准备使用基于B/S架构的J2EE中间件技术，并且实施999.999%的高可靠性运行方式；在业务上用新型工作流作为驱动新一代业务系统的引擎，真正达到通过以客户为中心来提升利润及通过高效智能的工作流来提高每个行员的劳动生产率，从而降低成本、提高核心竞争力以应对外部的竞争。 3.2.2 网络结构与拓扑图 该系统的网络包含应用服务器组、数据库服务器组、业务管理端、网络连接设备和安全防护设备。业务系统网络通过一台高性能路由器连接分部网络，通过一台千兆以太网交换机连接到其他业务系统。其中业务系统网络内部骨干网络采用千兆位以太网，两台千兆以太网交换机位骨干交换机。网络配备百兆桌面交换机来连接网络管理维护客户机。
网络安全风险评估报告范文 【IT168 评论】组织不必花费太多时间评估网络安全情况，以了解自身业务安全。因为无论组织的规模多大，在这种环境下都面临着巨大的风险。但是，知道风险有多大吗? 关注中小企业 网络 ___多年来一直针对大型企业进行网络攻击，这导致许多中小企业认为他们在某种程度上是免疫的。但是情况并非如此。其实中小企业面临着更大的风险，因为黑客知道许多公司缺乏安全基础设施来抵御攻击。 根据调研机构的调查，目前43%的网络攻击是针对中小企业的。尽管如此，只有14%的中小企业将其网络风险、漏洞和攻击的能力评估为“高效”。 最可怕的是，有60%的小企业在网络攻击发生后的六个月内被迫关闭。 换句话说，如果是一家财富500强公司或美国的家族企业，网络威胁并不能造成这么大的损失，并且这些公司将会制定计划来保护自己免遭代价昂贵的攻击。
以下是一些可帮助评估组织的整体风险水平的提示： 1.识别威胁 在评估风险时，第一步是识别威胁。每个组织都面临着自己的一系列独特威胁，但一些最常见的威胁包括： ●恶意软件和勒索软件攻击 ●未经授权的访问 ●授权用户滥用信息 ●无意的人为错误 ●由于备份流程不佳导致数据丢失 ●数据泄漏 识别面临的威胁将使组织能够了解薄弱环节，并制定应急计划。
2.利用评估工具 组织不必独自去做任何事情。根据目前正在使用的解决方案和系统，市场上有许多评估工具和测试可以帮助组织了解正在发生的事情。 微软安全评估和规划工具包就是一个例子。组织会看到“解决方案加速器”，它们基本上是基于场景的指南，可帮助IT专业人员处理与其当前基础设施相关的风险和威胁。 利用评估工具可以帮助组织在相当混乱和分散的环境中找到清晰的信息。 3.确定风险等级 了解组织面临的威胁是一回事，但某些威胁比其他威胁更危险。为了描绘出威胁的精确图像，重要的是要指定风险级别。 低影响风险对组织的未来影响微乎其微或不存在。中等影响风险具有破坏性，但可以通过正确的步骤恢复。高影响的风险是巨大的，可能会对组织产生永久性的影响。
项目名称：XXX风险评估报告 _________________________ 被评估公司单位：XXX有限公司 _____________________________ 参与评估部门：XXXX委员会___________________________________ 一、风险评估项目概述 1.1工程项目概况 1.1.1建设项目基本信息
1.2风险评估实施单位基本情况 二、风险评估活动概述 2.1风险评估工作组织管理 描述本次风险评估工作的组织体系（含评估人员构成）、工作原则和采取的保密措施。 2.2风险评估工作过程 本次评估供耗时2天，采取抽样的的方式结合现场的评估，涉及了公司所有部门及所有的产品，已经包括了位于公司地址位置的相关产品。 2.3依据的技术标准及相关法规文件 本次评估依据的法律法规条款有:
2.4保障与限制条件 需要被评估单位提供的文档、工作条件和配合人员等必要条件，以及可能的限制条件。 三、评估对象 3.1评估对象构成与定级 3.1.1网络结构 根据提供的网络拓扑图，进行结构化的审核。 3.1.2业务应用
本公司涉及的数据中心运营及服务活动。 3.1.3子系统构成及定级 N/A 3.2评估对象等级保护措施 按照工程项目安全域划分和保护等级的定级情况，分别描述不同保护等级保 护范围内的子系统各自所采取的安全保护措施，以及等级保护的测评结果。 根据需要，以下子目录按照子系统重复。 3.2.1 XX子系统的等级保护措施 根据等级测评结果，XX子系统的等级保护管理措施情况见附表一。 根据等级测评结果，XX子系统的等级保护技术措施情况见附表二。 四、资产识别与分析 4.1资产类型与赋值 4.1.1资产类型 按照评估对象的构成，分类描述评估对象的资产构成。详细的资产分类与赋值，以附件形式附在评估报告后面，见附件3《资产类型与赋值表》。 4.1.2资产赋值
信息系统安全风险评估报告
xx有限公司记录编号005 信息系统安全风险评估报告创建日期2015年8月16日文档密级 更改记录 时间更改内容更改人 项目名称：XXX风险评估报告 被评估公司单位：XXX有限公司 参与评估部门：XXXX委员会
一、风险评估项目概述 1.1 工程项目概况 1.1.1 建设项目基本信息 风险评估版 本201X年8日5日更新的资产清 单及评估 项目完成时 间 201X年8月5日项目试运行 时间 2015年1-6月 1.2 风险评估实施单位基本情况 评估单 位名称 XXX有限公司
二、风险评估活动概述 2.1 风险评估工作组织管理 描述本次风险评估工作的组织体系（含评估人员构成）、工作原则和采取的保密措施。 2.2 风险评估工作过程 本次评估供耗时2天，采取抽样的的方式结合现场的评估，涉及了公司所有部门及所有的产品，已经包括了位于公司地址位置的相关产品。 2.3 依据的技术标准及相关法规文件 本次评估依据的法律法规条款有： 序号法律、法规及其 他要求名称 颁布时 间 实施时 间 颁布部门 1 全国人大常委会 关于维护互联网 安全的决定 2000. 12.28 2000. 12.28 全国人大常 委会 2 中华人民共和国1994.1994.国务院第
计算机信息系统 安全保护条例 02.18 02.18 147号令 3 中华人民共和国 计算机信息网络 国际联网管理暂 行规定 1996. 02.01 1996. 02.01 国务院第 195号令 4 中华人民共和国 计算机软件保护 条例 2001. 12.20 2002. 01.01 国务院第 339号令 5 中华人民共和国 信息网络传播权 保护条例 2006. 05.10 2006. 07.01 国务院第 468号令 6 中华人民共和国 计算机信息网络 1998. 03.06 1998. 03.06 国务院信息 化工作领导
网络安全风险评估报告 XXX有限公司 20XX年X月X日
目录 一、概述 (4) 1.1工作方法 (4) 1.2评估依据 (4) 1.3评估范围 (4) 1.4评估方法 (4) 1.5基本信息 (5) 二、资产分析 (5) 2.1 信息资产识别概述 (5) 2.2 信息资产识别 (5) 三、评估说明 (6) 3.1无线网络安全检查项目评估 (6) 3.2无线网络与系统安全评估 (6) 3.3 ip管理与补丁管理 (6) 3.4防火墙 (7) 四、威胁细类分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 五、安全加固与优化 (9) 5.1加固流程 (9) 5.2加固措施对照表 (10) 六、评估结论 (11)
一、概述 XXX有限公司通过自评估的方式对网络安全进行检查，发现系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 1.1工作方法 在本次网络安全风险评测中将主要采用的评测方法包括：人工评测、工具评测。 1.2评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及公司文件、检查方案要求, 开展XXX有限公司网络安全评估。 1.3评估范围 此次系统测评的范围主要针对该业务系统所涉及的服务器、应用、数据库、网络设备、安全设备、终端等资产。 主要涉及以下方面： ●业务系统的应用环境； ●网络及其主要基础设施，例如路由器、交换机等； ●安全保护措施和设备，例如防火墙、IDS等； ●信息安全管理体系。 1.4评估方法 采用自评估方法。
信息系统安全管理与风险评估 陈泽民：3080604041 信息时代既带给我们无限商机与方便，也充斥着隐患与危险。越来越多的黑客通过网络肆意侵入企业的计算机，盗取重要资料，或者破坏企业网络，使其陷入瘫痪，造成巨大损失。因此，网络安全越来越重要。企业网络安全的核心是企业信息的安全。具体来说，也就涉及到企业信息系统的安全问题。一套科学、合理、完整、有效的网络信息安全保障体系，就成为网络信息系统设计和建设者们追求的主要目标。信息安全是整个网络系统安全设计的最终目标，信息系统安全的建立必须以一系列网络安全技术为摹础。但信息系统是一个综合的、动态的、多层次之间相结合的复杂系统，只从网络安全技术的角度保证整个信息系统的安全是很网难的，网络信息系统对安全的整体是任何一种单元安全技术都无法解决的。冈此对信息系统的安全方案的设计必须以科学的安全体系结构模型为依据，才能保障整个安全体系的完备性、合理性。 制定安全目标和安全策略对于建造一个安全的计算机系统是举足轻重的。网络上可采用安全技术例如防火墙等实现网络安全，软件开发上可选择不同的安全粒度，如记录级，文件级信息级等。在系统的各个层次中展开安全控制是非常有利的。在应用软件层上设置安全访问控制是整个应用系统安全性的重要步骤。此外安全教育与管理也是系统安全的重要方面。信息系统的安全管理就是以行政手段对系统的安全活动进行综合管理，并与技术策略和措施相结合，从而使信息系统达到整体上的安全水平。其实，在系统的安全保护措施中，技术性安全措施所占的比例很小，而更多则是非技术性安全措施。两者之间是互相补充，彼此促进，相辅相成的关系。信息系统的安全性并不仅仅是技术问
附件： 信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而
精心整理 xx有限公司记录编号005 创建日期2015年8月16日 信息系统安全风险评估报告 文档密级 更改记录 时间更改内容更改人 项目名称：XXX 风险评估报告 被评估公司单位：XXX 有限公司 参与评估部门：XXXX委员会 一、风险评估项目概述 1.1 工程项目概况 1.1.1 建设项目基本信息 风险评估版本201X 年 8 日 5 日更新的资产清单及评估 项目完成时间201X 年 8 月 5 日 项目试运行时间2015 年 1-6 月 1.2 风险评估实施单位基本情况 评估单位XXX 有限公司
精心整理 名称 二、风险评估活动概述 2.1 风险评估工作组织管理 描述本次风险评估工作的组织体系（含评估人员构成）、工作原则和采取的保密措施。 2.2 风险评估工作过程 本次评估供耗时 2 天，采取抽样的的方式结合现场的评估，涉及了公司所有部门及所有的产品，已经包括了位于公司地址位置的相关产品。 2.3 依据的技术标准及相关法规文件 本次评估依据的法律法规条款有： 序法律、法规及其他要求 颁布时间实施时间颁布部门号名称 1 全国人大常委会关于维2000.12. 2000.12. 全国人大常委会护互联网安全的决定28 28 2 中华人民共和国计算机1994.02. 1994.02. 国务院第 147 号信息系统安全保护条例18 18 令 中华人民共和国计算机 1996.02. 1996.02. 国务院第 195 3 信息网络国际联网管理 号 01 01 暂行规定 令 4 中华人民共和国计算机国务院第 339 号软件保护条例令
精心整理 5 中华人民共和国信息网国务院第 468 号络传播权保护条例令 中华人民共和国计算机 1998.03. 1998.03. 国务院信息化工 6 信息网络国际联网管理 06 06 作领导小组 暂行规定实施办法 7 计算机信息网络国际联1997.12. 1997.12. 公安部第 33 号令网安全保护管理办法16 30 计算机信息系统安全专 1997.06. 1997.12. 8 用产品检测和销售许可公安部第 32 号令 28 12 证管理办法 9 计算机病毒防治管理办2000.03. 公安部第 51 号令法30 10 恶意软件定义2007 ．0 2007 ．0 中国互联网协会6.27 6.27 11 2007 ．0 2007 ．0 抵制恶意软件自律公约 6.27 6.27 中国互联网协会 12 计算机信息系统保密管 国家保密局理暂行规定 13 计算机信息系统国际联 国家保密局网保密管理规定 14 软件产品管理办法 2000.10. 2000.10. 中华人民共和国 08 08 工业和信息化部
网络安全风险评估报告 XXXXX有限公司 20XX年X月X日
目录 一、概述 (3) 1.1工作方法 (3) 1.2评估依据 (3) 1.3评估范围 (3) 1.4评估方法 (3) 1.5基本信息 (4) 二、资产分析 (4) 2.1 信息资产识别概述 (4) 2.2 信息资产识别 (4) 三、评估说明 (5) 3.1无线网络安全检查项目评估 (5) 3.2无线网络与系统安全评估 (5) 3.3 ip管理与补丁管理 (5) 3.4防火墙 (5) 四、威胁细类分析 (6) 4.1威胁分析概述 (6) 4.2威胁分类 (7) 4.3威胁主体 (7) 五、安全加固与优化 (8) 5.1加固流程 (8) 5.2加固措施对照表 (9) 六、评估结论 (10)
一、概述 XXXXX有限公司通过自评估的方式对网络安全进行检查，发现系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 1.1工作方法 在本次网络安全风险评测中将主要采用的评测方法包括：人工评测、工具评测。 1.2评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及公司文件、检查方案要求, 开展XXXXX有限公司网络安全评估。 1.3评估范围 此次系统测评的范围主要针对该业务系统所涉及的服务器、应用、数据库、网络设备、安全设备、终端等资产。 主要涉及以下方面： ●业务系统的应用环境； ●网络及其主要基础设施，例如路由器、交换机等； ●安全保护措施和设备，例如防火墙、IDS等； ●信息安全管理体系。 1.4评估方法 采用自评估方法。 3/ 10