作业活动清单 单位： ***********公司 序号作业岗位作业活动 1维修电工电气检修维护 2维修电工倒闸操作 3维修电工停送电操作 4维修电工临时用电 5 6 7 8 9 10 11 12 13 14 制表：庾海审核：唐文波填表日期： 2016年1月4日
工作危害分析记录表（ JHA ） 单位： 生产保运部 工作岗位： 维修电工 工作任务： 检修维护 危害或 以往发生频率及现有安全控制措施 序 工作 潜在危 主要 员工 害（作业 偏差发生 安全设 L S R 建议改正措施 号 步骤 后果 管理措施 胜任 环境、人 频率 施 程度 物管理） 损坏 加强检查，按检 安全帽、 严格执行检修 检修 设备 偶尔 规程，加强安全 1 碰 伤 修步骤进行操 胜任 防护手 2 3 电机 人身 发生过 6 作. 套齐全 教育，提高防范 伤害 意识 检修 损坏 加强检查，加强 设备 做好隔 加强安全教育， 2 开关 触 电 未发生过 监护 胜任 2 3 人身 离 6 柜 提高防范意识 伤害 电机 人 身 偶尔发生 加强检查 , 加强 安全帽、 加强安全教育， 3 碰 伤 防护手 2 3 补油 伤害 过 监护 胜任 6 套齐全 提高防范意识 4 5 6
---
工作危害分析记录表（JHA ） 单位：生产保运部工作岗位：维修电工工作任务：倒闸操作 以往发生频率及现有安全控制措施 序工作危害或潜主要偏差员工 安全设L S R 建议改正措施号步骤在危害后果发生管理措施胜任 施 频率程度 上级指不清楚指导偶尔 加强安全教育， 1发生重复确认口令胜任无133令上级指令错误提高防范意识 过 造成偶尔严格执行操作 填写倒填写不完严格按照操作规矩，加强安全2误操发生胜任无133闸票善规程审核执行教育，提高防范 作过 意识 人身 偶尔安全帽、严格执行操作 倒闸操伤害，防护绝规矩，加强安全3触电发生加强劳动防护胜任133作设备缘手套教育，提高防范 过 损坏齐全意识4133
设备资产风险评估资料 一、资产评估提出、依据及评估人员 1.资产评估提出： 根据环境公司资产管理政策要求，对设备资产进行评估，根据评估风险高低不同对设备制定相应的维护计划并进行维护，确保设备运行稳定、安全、可靠，从而对项目生产顺利进行提供保障。 2.评估依据 环境公司制定的资产管理政策中关于资产评估相关内容进行 3.参与评估人员 评估项目方：公司主管生产的副总、部门负责人及技术人员，包括设备、工艺、安全等方面的技术人员，熟悉现场生产工艺、设备状况及安全要求，负责本项目资产评估具体工作； 环境公司生产安全部：监督设备资产评估工作； 设备维护管理中心：参与并指导各项目设备资产评估工作。 二、资产评估准备工作 1.评估项目方准备的工作 1）列出待评估设备明细表，重点关系到工艺、安全、资产价值高、进口设备难维修或者维修配件采购周期长的设备，包括电气、自控、仪表、机械设备及部分工艺闸门（如进水闸门等）；（按照各项目导入资产系统设备资产明细表编制）明细表中至少应包括以下信息：系统、工段、组合、位号、位置名称、设备名称、规格、型号、类别、生产商等。 2）收集现有的数据及资料 主要包括设备及维护情况资料（设备档案）、操作手册（包括设备手册、维护规程、安全操作规程等）、厂内工艺运行资料、其他相关资料：目的是评估项目方要熟悉本项目的设备情况、工艺情况，保证评估准确性； 3）制定评估计划：包括评估日期安排、参加人员等 2.维护管理中心准备工作 1）向评估项目方进行培训，包括评估的方法、评估内容等，保证评估质量；
2）向评估项目方提供设备评估记录表（统一格式）电子版，现场评估现场记录，手动录入设备名称、重要性及状态，自动计算风险值； 3）准备资产评估反馈表，在项目评估完成后，记录反馈信息。 三、资产评估具体操作内容 （一）评估因素组成 设备资产风险评估级别由重要性（故障导致的后果严重程度）及状态（发生故障的可能性）2个参数共同决定 计算公式：设备资产风险等级=设备状态*设备重要性 设备资产风险等级越高，设备开展纠正性维护或者改造的紧迫性就高。反之，设备资产风险等级越低，说明设备性能良好，对其维护的紧迫性相应降低。 （二）设备重要性评估 1.重要性分级 根据资产政策说明，我们根据设备故障造成的影响大小作为衡量设备重要性的依据重要性分为三级A-高、B-中、C-低； 对应指数为：3、2、1，该指数作为风险等级量化的数值 A 类设备重要性级最高， B 类设备重要性次之， C 类设备的重要性最低。 2.如何对设备重要性进行判定 判定设备重要性从生产安全方面、更新费用方面、维护成本方面等方面进行：1）生产安全方面：指对设备停运/故障对生产安全运行产生影响的影响来判断，主要分为冲击大、有冲击、没有冲击三种情况，举例进水泵故障将影响进水量，则进水泵对生产安全冲击大；粗格栅故障，进水量将有波动，对生产安全有冲击；生物池一台搅拌器故障，对整体工艺运行影响不大，则没有冲击； 2）更新费用方面：指更新一台设备需要的费用分为昂贵、中等、低廉：举例脱水机（福乐伟）更新一台上百万，更新费用昂贵；生物池搅拌器（ABS）更新一台费用20万，费用中等；次氯酸钠加药泵（国产）更新一台费用几千元，费用低廉； 3）维护成本方面：分为维护成本高且维护周期长且无法自行完成维护、维护成本及维护周期中等、维护成本便宜且维护周期短：举例高压电动鼓风机维护备件进口周期长、价格（几万至几十万）、维护需要有资质的技术人员进行，维护费用
信息资产管理办法 第一章总则 第一条目的：本管理办法旨在对XX银行（以下简称我行）内部重要的信息资产进行分类分级，以便对信息的分发和流转进行恰当的控制，确保信息资产的保密性、完整性和可用性能够实现。 第二条依据：本管理办法根据《XX银行信息安全管理策略》制订。 第三条范围：本管理办法适用于我行总部及所辖分、支行。 第四条定义 （一）本管理办法所涉及的信息包括各种存储或者存在形式，包括但不限于电子信息、纸质数据文件、语音和图像等。 （二）本管理办法所称信息是指以任何形式存在或传播的对我行具有价值的内容，包括电子信息、纸质数据文件、语音图像等。信息安全关注的是信息的保密性、可用性和完整性。 （三）本管理办法所称信息资产是指任何对我行具有价值的信息的存在形式或者载体，包括计算机硬件、通信设施、IT环境、数据库、软件、文档资料、信息服务和人员等，所有这些资产都需要妥善保护。 第二章组织与管理 第五条我行各部门负责人是本部门信息资产管理的第一责任人，负责组织本管理办法的贯彻落实。 第六条全体员工理解并遵守本管理办法定义的内容。 第七条本管理办法定义以下相关角色，履行相应的信息安全管理、执行和审核职责。 （一）责任人，信息资产的创建者，或者主要用户所在组织、单位或部门的负责人。信息资产责任人对所属信息资产负直接责任。其主要职责包括：
1、理解和各种信息访问活动相关的安全风险； 2、根据我行信息密级划分标准来确定所属信息资产的级别； 3、根据我行相关策略确定并检查信息访问权限； 4、针对所属信息资产提出恰当的保护措施。 （二）保管者，受信息资产责任人委托，对信息资产进行日常的管理，维护已经建立的保护措施。资产保管者通常是我行的IT部门或者代表（例如系统管理员）。其主要职责包括： 1、根据相关策略和信息资产责任人的要求，负责信息资产的维护操作和日常管理事务； 2、负责具体设置信息访问权限； 3、负责所管理的信息资产的安全控制； 4、部署恰当的安全机制，进行备份和恢复操作； 5、按照信息资产责任人的要求实施其他控制。 （三）用户，信息资产的使用者，除了我行内部员工，也可能是因为业务需要而访问我行信息的客户或第三方组织。其主要职责包括： 1、向信息资产责任人申请信息访问； 2、按照我行信息安全策略要求正当访问信息，禁止非授权访问； 3、向相关组织报告隐患、故障或者违规事件。 第三章资产管理要求 第八条信息资产分类 信息资产责任人应该指导进行相关资产的调查，资产调查以业务流程为线索，包括各类输入、中间环节和输出信息，所有这些信息资产都为业务流程的运转提供支持。 信息资产可以分为以下几大类。 （一）数据文件，通常包括各种电子档：业务数据、客户数据、配置文件、记录数据（日志、审计记录）、管理文件（策略、流程文件、操作手册等）、商务文件（合同、协议等）。也包括以实物方式存在的资产：各类电子数据的归档、打印件、书面管理文件、业务报表、包含重要商业成果的文件，还有胶片等。 （二）软件资产，各种系统软件、应用软件（OA、业务软件等）和工具软件（开发系统、网管软件、安全软件等），包括操作系统、数据库应用程序、网络软件、办公应用系
**市重大活动社会稳定风险评估实施细则 第一章总则 第一条为深入推进重大活动社会稳定风险评估工作，切实增强重大活动稳评工作的规范化、制度化、常态化，增强稳评机制的针对性、科学性和实效性，预防和减少重大活动组织过程中涉稳事件的发生，确保重大活动安全顺利地组织实施，根据《**市社会稳定风险评估实施细则》等相关规定，制定本实施细则。 第二章评估范围 第二条重大活动是指参与人数众多的文化、体育演出比赛活动，各种节会演出、开放型宗教活动，以及展览、展销、招聘、现场开奖等活动。 第三章评估主体 第三条重大活动的组织部门负责该项活动的社会稳定风险评估。 - 1 - 党委政府组织实施的重大活动，由党委、政府指定的部门进行社会稳定风险评估。 多部门联合组织实施的重大活动，由牵头部门或指定的部门商其他部门进行社会稳定风险评估。 社会组织组织的重大活动，由相关主管审批部门负责该项活动的社会稳定风险评估。 第四条重大活动的组织部门在向主管部门提交《重大活动工作方案》时，一并提交《社会稳定风险评估报告》，未提交稳评报告的，主管部门一律不予审核、批准。 重大活动需公安机关提供安保工作的，要向公安机关提交稳评报告，未提交稳评报告的，公安机关一般不组织安保工作。 第四章评估内容 第五条重大活动社会稳定风险评估，主要就该项活动实施过程中可能存在的影响社会稳定的风险及化解、管控风险的措施进行深入分析和评估，做出低风险准予实施、中风险暂缓实施、高风险不予实施的结论。 第六条重大活动社会稳定风险评估，重点从重大活动组织实施的合法性、合理性、可行性、可控性四个方面进行评估。 （一）合法性评估 1.该活动的内容、形式及组织实施是否符合国家的相关法律 - 2 - 法规。 2.主管部门对活动的组织是否具有批准权。 （二）合理性评估 1.该活动的组织实施是否会给群众带来过重的经济负担或者对群众的生产生活造成过多不便。 2.该活动的组织实施是否对社会有负面效应。 3.该活动的组织实施拟采取的安保措施和手段是否必要、适当。 （三）可行性评估 1.该活动的组织实施是否具备相应的人力物力财力。 2.该活动的组织实施是否得到大多数群众的支持。 3.该活动的组织实施是否会引发人员拥挤踩踏、火灾、治安案件等事件。 4.该项活动组织实施是否存在爆炸等恐怖袭击风险。 5.活动场地使用的水、电、气、热等方面是否存在安全风险。 6.活动场地临时搭建设施是否存在安全隐患。 7.天气等其它因素是否对活动安全造成影响。 8.活动场地周边环境是否存在安全隐患。
1资产识别 1.1资产数据采集 1.1.1资产采集说明 通过资产调查和现场访谈，对信息系统的相关资产进行调查，形成资产列表。采集工作在前期调研的基础上开展，以调研所得的设备列表为依据，将所有与信息系统有关的信息资产核查清楚。 1.1.2资产采集检测表 1.2资产分类识别 1.2.1资产分类说明 将所采集的资产数据按照资产形态和用途进行分类，形成资产分类表。信息系统的资产一般可分为硬件、软件、文档与数据、人力资源、服务和其它资产等几大类。 1.2.1.1硬件
1.2.1.2软件 1.2.1.3文档与数据 一般指保存在信息媒介上的各种数据资料，包括源代码、数据库数据、系统文档、运行管理规程、计划、报告、用户手册、各类纸质的文档等。 1.2.1.4人力资源 人力资源一般包括掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理等。 1.2.1.5服务 1.2.1.6其它资产 其它资产是指一些无形的但同样对于企业本身具有一定的价值，如企业形象、客户关系等。
1.2.2资产分类检测表 1.2.3网络拓扑中常用的硬件资产 设备，它会根据信道的情况自动选择和设定 路由，以最佳路径，按前后顺序发送信号的 设备。 各种不同档次的产品已成为实现各种骨干网 内部连接、骨干网间互联和骨干网与互联网 互通业务的主力军 它可以为接入交换机的任意两个网络节点提 供独享的电信号通路。最常见的交换机是以 太网交换机。交换是按照通信两端传输信息 的需要，用人工或设备自动完成的方法，把 要传输的信息送到符合要求的相应路由上的 技术的统称。根据工作位置的不同，可以分 为广域网交换机和局域网交换机
编制说明 依据国内相关法律、法规、规程、规范、条例、标准和其他相关的事故案例、技术标准，公司内部的管理体系文件、规章制度、作业规程、操 作规程、安全技术措施等相关信息，从神华集团神朔铁路分公司K174+800～K178+200技术改造工程基本建设项目特点及工程安全生产事故发生机理 着手，针对工程基本作业、安全文明施工等方面进行了全面的危险源辨识。 一、工程概况： 本段技术改造工程线路平面从神朔线三岔站东端K174+800引出，与既有上行线保持5m线间距并行向东，而后用半径为1000m的曲线左转并设中桥一座（16m+20m+16m）上跨209国道，同时通过第一个1000m半径曲线后，线间距由站端的5m逐渐拉大到15m,而后线路保持与既有上行线15m间距东行，于DK176+310处设二道河中桥（3-32m）上跨二道河，过二道河后线路用一半径为2000m的曲线左转，线间距由15m渐变为4m，接入既有下行线DK178+200处，新建下行线长3405.42m，比既有上行线长 5.42m。 本标段总投资约47429006元人民币。 二、风险评估小组： 风险评估小组全体成员根据项目实际情况采取适当方法及时辨识出所存在的各种危险源，分析危险程度，制订相应的控制和应急措施，并建立档 案和管理台帐。 组长：项目经理 副组长：副经理兼安全总监、总工程师、安质部长 成员：工程部长、物资部长、财务部长、计划部长、办公室主任、专职安全员、施工队长和施工作业人员 组长职责：1. 全面负责本项目施工危险源辨识和风险评估工作； 2. 依据体系规定的风险评估方法，定期进行风险评估； 3. 组织风险评估小组评估重大风险，确定风险控制措施；
本程序，作为《WX-WI-IT-001 信息安全管理流程A0版》的附件，随制度发行，并同步生效。 信息安全风险评估管理程序 1.0目的 在ISMS 覆盖范围内对信息安全现行状况进行系统风险评估，形成评估报告，描述风险等级，识别和评价供处理风险的可选措施，选择控制目标和控制措施处理风险。 2.0适用范围 在ISMS 覆盖范围内主要信息资产 3.0定义（无） 4.0职责 4.1各部门负责部门内部资产的识别，确定资产价值。 4.2IT部负责风险评估和制订控制措施。 4.3财务中心副部负责信息系统运行的批准。 5.0流程图 同信息安全管理程序的流程 6.0内容 6.1资产的识别 6.1.1各部门每年按照管理者代表的要求负责部门内部资产的识别，确定资产价值。 6.1.2资产分类 根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员 等类。 6.1.3资产（A）赋值 资产赋值就是对资产在机密性、完整性和可用性上的达成程度进行分析，选 择对资产机密性、完整性和可用性最为重要（分值最高）的一个属性的赋值 等级作为资产的最终赋值结果。资产等级划分为五级，分别代表资产重要性
的高低。等级数值越大，资产价值越高。 1）机密性赋值 根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产 2）完整性赋值 根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产 3）可用性赋值 根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
3分以上为重要资产，重要信息资产由IT 部确立清单 6.2威胁识别 6.2.1威胁分类 对重要资产应由ISMS 小组识别其面临的威胁。针对威胁来源，根据其表现形式将威胁分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、黑客攻击技术、物理攻击、泄密、篡改和抵赖等。 6.2.2威胁(T)赋值 评估者应根据经验和（或）有关的统计数据来判断威胁出现的频率。 威胁频率等级划分为五级，分别代表威胁出现的频率的高低。等级数值越大，威胁出现
XXXXX公司 信息安全风险评估报告
历史版本编制、审核、批准、发布实施、分发信息记录表
一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与 服务的企业。 3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。 4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。 二. 风险评估目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。 三. 风险评估日期： 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。 五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组； 2、通过咨询公司对风险评估小组进行相关培训； 3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方 法； 4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产 清单；
5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级； 6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施； 7、对于可接受的剩余风险向公司领导汇报并得到批准。 六. 风险评估概况 根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。主要工作过程如下： 1.2017-9-10 ~ 2017-9-10，风险评估培训； 2.2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法； 3.2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为 物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类； 4.2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在 风险，并在ISMS工作组内审核； 5.2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表； 6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作 组组织审核，并最终汇总形成本报告。 . 七. 风险评估结果统计 本次风险评估情况详见各部门“风险评估表”，其中共识别出资产190个，重要资产115个，信息安全风险115个，不可接受风险42个.
活动现场安全风险预测和评估报告 本次活动项目位置在西单大悦城一层中庭 一、大型活动安全风险评估依据和评估内容 对大型活动进行安全风险评估的主要法律依据有:《北京市大型社会活动安全管理条例》及大型社会活动安全管理的相关规定;北京市公安局有关大型社会活动风险评估标准;北京市消防局有关大型社会活动消防安全管理规定。二、大型活动安全风险评估工作程序 为了保证风险评估的效果,应该根据举办大型活动的内容、性质和各方面因素,对受理安全风险评估的大型活动区别对待;进行风险评估工作必须严格执行一套工作程序,规范管理。 (一)接待受理 公司在业务开展受理风险评估项目过程中,始终按照《条例》规定,对举办活动单位提供相关材料初步核准,详细了解活动的有关情况后,双方签定协议书,明确安全风险评估的相关事项和工作时限。 (二)查勘场地 根据举办活动的情况,对举办的大型活动的现场进行实地查勘,主要了解活动现场安全设施配备的具体情况,以及应急出入口、消防设施等重点部位。 (三)分析论证 结合所举办大型活动的具体特点和活动涉及到的人、地、物、事以及其他可能涉及到的各方面的安全因素,进行综合分析论证,提出意见和建议。
(四)出具安全风险评估报告 在分析论证举办活动的可行性后,出具安全风险评估意见,逐级审核批准后,形成报告交主办单位。安全风险评估结论分为一至五级五个档次。在评估工作中遇到的难点和问题,我们会及时请教公司的专家和顾问,具体问题具体分析。 三、安全风险评估的主要方法 根据《条例》及北京市公安局、北京市消防局有关大型社会活动安全管理,结合受理的举办活动的具 体情况,按照举办活动的类型,分别进行安全风险评估。 (一)详尽了解举办活动的情况 大型活动安全风险评估是按照《条例》规定,在允许范围内,详细了解举办活动的人、地、物、事及其他因素等具体情况,分别对主办单位、场地情况进行询问和实地查勘,为准确进行风险预测、安全评估提供条件。1.主办单位提供有关情况(1)申请举办大型活动的材料符合《条例》规定。包括批准文件、申请报告、资质证明、安全保卫方案、安全检查的设施设备证明材料、活动使用的证件和门票等全部申报材料。(2)主办单位的基本情况,包括主办单位性质及隶属关系、举办活动的具体内容等。活动的安全责任人和现场负责人。(3)举办活动的情况。活动性质属国内、国际或者全国性,活动对社会的影响程度,其他还包括:参加活动单位情况、活动现场搭建设施情况、活动具体内容、观众群体类别等。2.提供场地单位提供有关情况(1)提供场地单位的基本情况,包括单位性质及隶属关系、举办活动的场地条件,
国家电子政务工程建设项目非涉密 信息系统 欧阳歌谷（2021.02.01） 信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日 目录 一、风险评估项目概述1 1.1工程项目概况1 1.1.1 建设项目基本信息1 1.1.2 建设单位基本信息1 1.1.3承建单位基本信息2 1.2风险评估实施单位基本情况2 二、风险评估活动概述2 2.1风险评估工作组织管理2 2.2风险评估工作过程2 2.3依据的技术标准及相关法规文件2
2.4保障与限制条件3 三、评估对象3 3.1评估对象构成与定级3 3.1.1 网络结构3 3.1.2 业务应用3 3.1.3 子系统构成及定级3 3.2评估对象等级保护措施3 3.2.1XX子系统的等级保护措施3 3.2.2子系统N的等级保护措施3 四、资产识别与分析4 4.1资产类型与赋值4 4.1.1资产类型4 4.1.2资产赋值4 4.2关键资产说明4 五、威胁识别与分析4 5.1威胁数据采集5 5.2威胁描述与分析5 5.2.1 威胁源分析5 5.2.2 威胁行为分析5 5.2.3 威胁能量分析5 5.3威胁赋值5
六、脆弱性识别与分析5 6.1常规脆弱性描述5 6.1.1 管理脆弱性5 6.1.2 网络脆弱性5 6.1.3系统脆弱性5 6.1.4应用脆弱性5 6.1.5数据处理和存储脆弱性6 6.1.6运行维护脆弱性6 6.1.7灾备与应急响应脆弱性6 6.1.8物理脆弱性6 6.2脆弱性专项检测6 6.2.1木马病毒专项检查6 6.2.2渗透与攻击性专项测试6 6.2.3关键设备安全性专项测试6 6.2.4设备采购和维保服务专项检测6 6.2.5其他专项检测6 6.2.6安全保护效果综合验证6 6.3脆弱性综合列表6 七、风险分析6 7.1关键资产的风险计算结果6 7.2关键资产的风险等级7 7.2.1 风险等级列表7
活动现场安全风险预测和评估报告本次活动项目位置在西单大悦城一层中庭 一、大型活动安全风险评估依据和评估内容 对大型活动进行安全风险评估的主要法律依据有:《北京市大型社会活动安全管理条例》及大型社会活动安全管理的相关规定;北京市公安局有关大型社会活动风险评估标准;北京市消防局有关大型社会活动消防安全管理规定。二、大型活动安全风险评估工作程序 为了保证风险评估的效果,应该根据举办大型活动的内容、性质和各方面因素,对受理安全风险评估的大型活动区别对待;进行风险评估工作必须严格执行一套工作程序,规范管理。 (一)接待受理 公司在业务开展受理风险评估项目过程中,始终按照《条例》规定,对举办活动单位提供相关材料初步核准,详细了解活动的有关情况后,双方签定协议书,明确安全风险评估的相关事项和工作时限。 (二)查勘场地 根据举办活动的情况,对举办的大型活动的现场进行实地查勘,主要了解活动现场安全设施配备的具体情况,以及应急出入口、消防设施等重点部位。 (三)分析论证 结合所举办大型活动的具体特点和活动涉及到的人、地、物、事以及其他可能涉及到的各方面的安全因素,进行综合分析论证,提出意见和建议。
(四)出具安全风险评估报告 在分析论证举办活动的可行性后,出具安全风险评估意见,逐级审核批准后,形成报告交主办单位。安全风险评估结论分为一至五级五个档次。在评估工作中遇到的难点和问题,我们会及时请教公司的专家和顾问,具体问题具体分析。 三、安全风险评估的主要方法 根据《条例》及北京市公安局、北京市消防局有关大型社会活动安全管理,结合受理的举办活动的具 体情况,按照举办活动的类型,分别进行安全风险评估。 (一)详尽了解举办活动的情况 大型活动安全风险评估是按照《条例》规定,在允许范围内,详细了解举办活动的人、地、物、事及其他因素等具体情况,分别对主办单位、场地情况进行询问和实地查勘,为准确进行风险预测、安全评估提供条件。1.主办单位提供有关情况(1)申请举办大型活动的材料符合《条例》规定。包括批准文件、申请报告、资质证明、安全保卫方案、安全检查的设施设备证明材料、活动使用的证件和门票等全部申报材料。(2)主办单位的基本情况,包括主办单位性质及隶属关系、举办活动的具体内容等。活动的安全责任人和现场负责人。(3)举办活动的情况。活动性质属国内、国际或者全国性,活动对社会的影响程度,其他还包括:参加活动单位情况、活动现场搭建设施情况、活动具体内容、观众群体类别等。2.提供场地单位提供有关情况(1)提供场地单位的基本情况,包括单位性质及隶属关系、举办活动的场地条件,安全责任人和现场负责人。(2)提供场地单位保卫机构的
信息资产赋值定义 1.为什么要进行信息资产的赋值？ 在完成信息资产的识别形成完整的信息资产表之后，为了明确对资产的保护，同时为了接下来对风险值的计算，有必要对资产的价值进行评估，其价值大小不仅仅是考虑其自身的价值，还要考虑其业务的相关性和一定条件下的潜在价值。资产价值常常是以安全事件发生时所产生的潜在业务影响来衡量，安全事件会导致资产机密性、完整性和可用性的损失，从而导致企业资金、市场份额、企业形象的损失。为了资产评估的一致性与准确性，我们建立一套资产价值的评估标准，对每一种资产和每一种可能的损失，例如机密性、完整性和可用性的损失，都可以赋予一个价值。但采用精确的方式给资产赋值是较困难的一件事，一般采用定性的方式，按照资产的价值评估标准将资产的价值划分为不同等级。经过资产的识别与估价后，组织应根据资产价值大小，进一步确定要保护的关键资产。 在评估过程，为了保证没有资产被忽略和遗漏，应该先确定信息安全体系范围，建立资产的评审边界。评估资产最简单的方式是列出组织业务过程中、安全管理体系范围内所有具有价值的资产，然后对资产赋予一定的价值，这种价值应该反映资产对组织业务运营的重要性，并以对业务的潜在影响程度表现出来。例如，资产价值越大，由于泄露、修改、损害、不可用等安全事件对组织业务的潜在影响就越大。基于组织业务需要的资产的识别与估价，是建立信息安全体系，确定风险的重要一步。 2.如何进行信息资产赋值？ 在对资产赋予价值时，一方面要考虑资产购买成本及维护成本，另一方面主要考虑当这种资产的机密性、完整性、可用性受到损害时，对业务运营的负面影响程度。在信息安全管理中，并不是直接采用资产的账面价值，而是采用以定性分级的方式建立资产的相对价值，以相对价值来作为确定重要资产的依据和为这种资产的保护投入多大资源的依据。 对资产的赋值不仅要考虑资产本身的价值，更重要的是要考虑资产的安全状况对于组织的重要性，即由资产在其CIA三个安全属性上的达成程度决定。依据CIA属性分级的标准对资产在机密性、完整性和可用性上的达成程度进行分析，并在此基础上得出一个综合结果——信息资产的价值。
1、风险评估概述 1.1风险评估概念 信息安全风险评估是参照风险评估标准和管理规，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、标准《信息系统安全等级评测准则》等法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等面存在的脆弱性为诱因的信息安全风险评估综合法及操作模型。 1.2风险评估相关 资产，任对组织有价值的事物。 威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。 脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。 风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。
风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的法，去顶资产风险等级和优先控制顺序。 2、风险评估的发展现状 2.1信息安全风险评估在美国的发展 第一阶段（60-70年代）以计算机为对象的信息保密阶段1067年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作为第一次比较大规模的风险评估。 特点： 仅重点针对了计算机系统的保密性问题提出要求，对安全的评估只限于保密性，且重点在于安全评估，对风险问题考虑不多。 第二阶段（80-90年代）以计算机和网络为对象的信息系统安全保护阶段 评估对象多为产品，很少延拓至系统，婴儿在格意义上扔不是全面的风险评估。 第三阶段（90年代末，21世纪初）以信息系统为对象的信息保障阶段 随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力明确来源于技术、管理和人员三个面；逐步形成了风险评估、自评估、认证认可的工作思路。
企业名称： 项目名称： 融资额度： 担保期限： 是否反担保： 贷款银行： 企业地址： 负责人： 联系电话： 风险分值： 承保意见： 部门负责人： 部门： 职务： 岗位： 姓名： 时间： 年 月 日 第 页，共 页 *生产经营资质 分值12 科 目 分值 评分标准 失分情况 风险描述 备 注 营业执照 组织机构代码证 税务登记证 行业许可证 技术团队 管理团队 生产团队 营销团队 厂房 设备 仓库 办公生产场地 *股权结构分值12 股东信息 出资情况 变动情况 用途与还款15分 贷款额度 用途 还款计划 *反担保措施24分 固定资产 流动资产 无形资产 *财务制度与报 表15分 现金流量表 资产负债表 损益表
企业名称： 项目名称： 融资额度： 担保期限： 是否反担保： 贷款银行： 企业地址： 负责人： 联系电话： 风险分值： 承保意见： 部门负责人： 部门： 职务： 岗位： 姓名： 时间： 年 月 日 第 页，共 页 生产经营状况6分 试运行期间 成熟期 衰退期 *债权债 务情况7 分 最大债务 到期债务 负债总量和负债率 应收账目额度 坏账率 连带责任债权 连带责任债务 征信报告9分 企业社会信用 法人征信报告 企业金融征信 总分值 风险评估专员 说明： 1、带*的栏目，属于企业基本情况为重点评估对象。 2、评估辅助项目，作为企业成长与发展前景的评估。 3、反担保栏目，是重中之重的评估对象。 4、生产经营资质、股权结构、反担保、财务报表与财务制度、反担保、债权债务情况栏目，作为风险评估的重点占整个评分值的百分之七十。作为基本合格的风险贷款担保基础。达不到则不能给予融资担保服务。 5、用途与还款计划、生产经营状况与市场、征信等作为企业的辅助申请条件，参考价值在百分之三十。作为是否全额度担保的参考价值，也是还款能力的最后保障。
中国工商银行个人客户风险评估表 〖填表说明〗：根据中国银行业监督管理委员会《商业银行个人理财业务管理暂行办法》和《商业银行个人理财业务风险管理指引》和中国证券监督管理委员会的相关规定，请您填写以下评估问卷，我行承诺对您的个人资料进行保密。为了确保评估结果的客观性，本表评估标准恕不公开。 客户姓名: 性别: 婚姻状况: 1、您的家庭年收入为？ 5万元以下 5—20万元 20—50万元 50—100万元 100万元以上 2、您的投资目的是？ 子女教育费，退休计划 个人目标（如置业、购车） 让财富保值增值 3、您期望的投资理财回报是？（附注：高回报附带高风险） 跟银行存款利率大体相同 比定期存款利率稍高 远超过定期存款利率 4、您的年龄是？ 18—30 31—40 41—50 51—60 高于61岁 5、未来五年，您预计自己每月可拿出多少资金用于投资理财？ 预计未来每月可投资金额会减少（比如：退休） 预计未来每月可投资金额跟现在大体相同 预计未来每月可投资金额比现在高 6、如果您要参与投资理财，您打算购买理财产品（含基金，下同）的资金占个人总资产的百分之几？ 25％以下 25％—50％ 51％—75％
75％以上 7、您希望您的投资目标在多长时间内实现？ 1年以下 1—2年 3—5年 5年以上 8、以下哪项最能说明您的投资经验？ 经验有限：除存款、国债，我几乎没有其他投资经验。 经验适度：我有一些投资经验，但希望得到专业人士的进一步帮助。 经验丰富：我是活跃且有经验的投资者，希望自行进行投资决策。 9、以下哪项是适合您的投资风格？ 无风险：不希望本金承担风险 保守：希望保守投资，回报高于定期存款 稳健：希望以平衡的投资方式，寻求资金的较高收益和成长性 进取：希望赚取高回报，能接受为期较长期间的负面波动，包括本金损失 10、当您购买的投资理财产品价值出现负收益时，您的反映是： 明显焦虑 稍有焦虑 可以接受 无所谓 11、您可承受的价值波动幅度？ 能够承受本金50％以上亏损 能够承受本金20—50％的亏损 能够承受本金10％以内的亏损 不能够承受本金损失 12、您是否已充分了解拟购买的投资理财产品的类型、风险、期限、收益计算方式以及提前终止的约定？ 是 否 13、对于不保本型理财产品，银行不承诺保证本金安全，您可能在产品到期收回本金并拿到较高收益，也可能无法获得任何收益且无法收回全部本金。对上述情况您是否了解并接受？ 是 否 14、投资于代客境外理财产品，从您签署认购协议起至产品到期，您可能会面临汇率风险，您的投资本金会因此面临损失的可能。对于上述风险，您是否已经清楚地了解并且能够接受？ 是
ISO27001风险评估程序 1目的 为了对公司的信息资产进行风险评估和风险控制，评估组织信息资产所面临的风险并对风险实施有效控制，以确保风险被降低或消除，特制定本程序。 2适用范围 本程序适用于适用于对公司的信息资产进行风险评估和风险控制。 3职责与权限 3.1信息安全委员会 ?制定资产评估准则，确定风险评估方法； ?负责对控制目标、控制措施的有效性进行监督和评审。 ?确定风险评估的范围； ?指导各部门进行风险评估； ?汇总和分析风险评估结果，作出风险评价； ?制定风险处理计划，向信息安全委员会提交信息安全风险评估报告。 3.3各部门 ?各部门资产负责人按规定维护相关资产。 ?识别并列出跟本部门业务有关的资产； ?对本部门资产进行风险评估。 4风险评估程序和工作流程 4.1风险评估与管理 4.1.1过程识别 在ISMS范围内，各部门识别本部门涉及的主要业务过程及使用的各类信息资产。 4.1.2风险评估
风险评估是依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。即风险分析和风险评价的全过程。 4.1.3风险管理 风险管理是识别、控制、消除、减小可能影响信息系统资源的不确定事件的过程。指导和控制一个组织的风险的协调的活动。 4.1.4风险评估方法 结合公司在风险评估时投入的时间、人力、成本等各方面的因素，公司采用基本风险评估方法。基本的风险评估方法是指应用直接和简易的方法达到基本的安全水平，就能满足组织及其业务环境的所有要求。公司采用这种方法使得组织在识别和评估基本安全需求的基础上，通过建立相应的信息安全管理体系，获得对信息资产的基本保护。 4.1.5风险评估与风险管理的区分 风险管理是把整个组织内的风险降低到可接受水平的整个过程。 ?是一个持续的周期，通常以一定的间隔重新开始来更新流程中各个地区阶段的数据 ?是一个持续循环、不断上升的过程。 风险评估是确定组织面临的风险并确定其优先级的过程，是风险管理流程中最必须、最谨慎的一个过程。 ?当潜在的与安全相关的事件在企业内发生时，如变动业务方法、发现新的漏洞等， 组织都可能会启动风险评估。 4.2 风险评估实施流程 总要求:组织应根据整体业务活动和风险，建立、实施、运行、监视、评审、保持并改进文件化的ISMS。
ISO27001信息安全风险评估控制手册 1 目的 本程序规定了DXC所采用的信息安全风险评估方法。通过识别信息资产、风险等级评估认知DXC的信息安全风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持DXC持续性发展，以满足DXC信息安全管理方针的要求。 2 范围 本程序适用于信息安全管理体系(ISMS)范围内信息安全风险评估活动。 3 相关文件 无 4 职责 4.1 管理者代表负责组织成立风险评估小组。 4.2 风险评估小组负责编制信息安全风险评估计划，确认评估结果，形成《信息安全风险评估报告》。 5 程序 5.1 风险评估前准备 5.1.1 管理者代表牵头成立风险评估小组,小组成员至少应该包含：负责信息安全管理体系的成员。 5.1.2 风险评估小组制定信息安全风险评估计划,下发各内审员。 5.1.3 必要时应对各内审员进行风险评估相关知识和表格填写的培训。
5.2信息资产的识别 5.2.1风险评估小组通过电子邮件向各内审员发放《信息资产分类参考目录》、《重要信息资产判断准则》、《信息资产识别表》，同时提出信息资产识别的要求。 5.2.2 各内审员参考《信息资产分类参考目录》识别DXC信息资产，并填写《信息资产识别表》，根据《重要信息资产判断准则》判断其是否是重要信息资产，经该区域负责人审核确认后，在风险评估计划规定的时间内提交风险评估小组审核汇总。 5.2.3 风险评估小组对各内审员填写的《信息资产识别表》进行审核，确保没有遗漏重要的信息资产，形成DXC的《重要信息资产清单》，并交由文档管理员处存档。 5.3 重要信息资产风险等级评估 5.3.1 应对《重要信息资产清单》中的所有资产进行风险评估, 评估应考虑威胁事件发生的可能性和威胁事件发生后对信息资产造成的影响程度两方面因素。 5.3.2 风险评估小组向各内审员分发《重要信息资产风险评估表》、《信息安全威胁参考表》、《信息安全薄弱点参考表》、《事件发生可能性等级对照表》、《事件可能影响程度等级对照表》。 5.3.3 各内审员根据资产本身所处的环境条件,参考《信息安全威胁参考表》识别每个信息资产所面临的威胁，针对每个威胁,识别目前已有的控制；并参考《信息安全薄弱点参考表》识别可能被该威胁所利用的薄弱点；在考虑现有的控制前提下，参考《事件发生可能性等级对照表》判断每项重要信息资产所面临威胁发生的可能性；参考《事件可能影响程度等级对照表》，判断威胁利用薄弱点可能使信息资产保密性、完整性或可用性丢失所产生的影响程度等级。将结果填写在《重要信息资产风险评估表》上，提交风险评估小组审核汇总。 5.3.4 风险评估小组考虑DXC整体的信息安全要求，对各内审员填写的《重要信息资产风险评估表》进行审核，确保风险评估水平的一致性，确保没有遗漏重要信息安全风险。如果对评估结果进行修改，应该和负责该资产的内审员进行沟通并获得该区域副总经理的确认。5.3.5 风险评估小组根据《信息安全风险矩阵计算表》计算风险等级,完成各内审员识别的《重要信息资产风险评估表》，并递交给文档管理员进行存档。
健康风险评估表
日期：年月日 健康风险评估调查表 调查日期：□□□□年□□月□□ 调查员：______ 请在正确的答案后面，打√。 1.性别：①男②女 2.出生日期：□□□□年□□月□□日 3.职业： ⑴农林牧渔水利业生产人员⑵生产、运输设备操作人员及有关人员 ⑶商业、服务人员⑷国家机关、党群组织、企业、事业单位负责人⑸ 办事人员和有关人员⑹专业技术人员⑺军人⑻其他劳动者 ⑼在校学生⑽未就业⑾家务⑿离退休人员 4.文化程度 ⑴未接受正规学校教育⑵小学未毕业⑶小学毕业⑷初中毕业 ⑸高中/中专/技校⑹大专毕业⑺本科毕业⑻研究生及以上 5.婚姻状况 ⑴未婚⑵已婚⑶同居⑷丧偶⑸离婚⑹分居⑺其他 6.身高：厘米 7.体重：公斤 8.您是否听说过“全民健康生活方式行动”/健康一二一行动： ①是②否 9.您是否听说过全民健康生活方式日？①是②否，请跳至题11. 10.您能说出具体是哪一天吗？□□月□□日 11.您认为健康生活方式包括哪些内容： A.平衡饮食①是②否 B.适量运动①是②否 C.不吸烟①是②否 D.不酗酒①是②否
E. 保持心理平衡①是②否 F. 保持充足的睡眠①是②否 G. 讲究个人卫生①是②否 12.您认为不健康的生活方式和下列哪些慢性病有关： A.心脏病①是②否 B.中风①是②否 C.糖尿病①是②否 D.肿瘤①是②否 E.高血压①是②否 F.高血脂①是②否 G.超重、肥胖①是②否 13.您有下列哪些不健康的生活方式： A.食物种类较单一①是②否 B.口味比较咸①是②否 C.经常吃油腻的食品如红烧肉等①是②否 D.蔬菜、水果摄入不够①是②否 E.锻炼不够①是②否 F.吸烟①是②否 G.经常酗酒①是②否 14.与一年前相比，您的饮食结构有什么变化？（可多选） ①无变化②食物种类多样化③多吃蔬菜、水果④注重粗细搭配⑤多喝奶或奶制品（酸奶、奶粉）⑥常吃鱼、蛋、禽和瘦肉。⑦其他，请列出 15.您是否经常吃新鲜水果（不包括罐头、果脯等加工后的水果）？ ①每天都吃②有时吃③很少吃④不吃 16.您是否经常吃新鲜蔬菜（不包括腌、晒、泡制等）？ ①每天都吃②有时吃③很少吃④不吃 17.您知道推荐的成人身体活动水平吗？ A.生活、出行加运动，每天至少运动6000步。①是②否 B.每周至少150分钟中等强度有氧运动①是②否 18.与一年前相比，您主动参加锻炼的次数有无变化？ ①增加②减少③无变化