下载文档原格式
信息安全风险评估方案1. 简介信息安全风险评估是为了识别和评估组织在信息技术领域面临的各种风险，并采取相应的措施来减轻这些风险的方法。
本方案旨在帮助组织进行全面的信息安全风险评估，并提供指导和建议，以确保信息系统和数据的安全。
2. 目标与范围2.1 目标•识别可能的信息安全风险和威胁；•评估各种信息安全风险的严重性和潜在影响；•制定相应的风险管理策略和措施；•提供信息安全风险评估报告和建议。
2.2 范围•评估组织的信息系统、网络设备和基础设施的安全性；•分析与信息系统相关的人员、流程和技术的风险因素；•考虑外部环境和法规对信息安全的影响；•推荐和制定针对性的风险减轻措施和应急响应计划。
3. 方法和流程3.1 方法•资产调查和分类：确定关键信息系统、数据和设备，并将其按照重要性和敏感程度进行分类。
•风险识别：识别潜在的信息安全威胁和风险因素，包括恶意软件、漏洞利用、物理入侵等。
•风险评估：评估各种风险的潜在影响和可能性，并进行定量或定性的分析。
•风险管理：确定适当的风险管理策略和措施，包括风险转移、风险减轻和风险接受等。
•监控和持续改进：建立监测和评估机制，及时发现和处理新的风险，并持续改进信息安全管理体系。
3.2 流程3.2.1 资产调查和分类•识别和记录关键信息系统、数据和设备；•确定资产的价值和敏感程度；•划分资产的分类，如机密性、完整性和可用性。
3.2.2 风险识别•收集和分析有关信息安全风险的数据和情报；•定期进行安全漏洞扫描和渗透测试；•监测网络和系统日志，发现异常活动和潜在的威胁。
3.2.3 风险评估•评估各种风险的潜在影响和可能性；•进行风险定量或定性分析，确定风险的级别和优先级；•制定风险评估报告，包括风险的描述、分析结果和建议措施。
3.2.4 风险管理•根据风险评估结果，确定适当的风险管理策略；•制定风险减轻措施，包括技术、组织和管理方面的措施；•制定应急响应计划，以应对潜在的安全事件和事故。
信息安全风险评估方案1. 背景信息安全风险评估是为了评估组织的信息系统或数据所面临的潜在风险，并制定相应的安全措施来减轻这些风险。
本方案旨在为组织提供一个系统化的方法，以识别和评估信息安全风险。
2. 目标本方案的目标是提供一个全面而有效的信息安全风险评估方案，包括以下几个方面：- 系统化的风险识别和评估方法；- 针对不同类型风险的具体措施建议；- 客观、准确、可靠的评估结果；- 基于评估结果的详细报告和建议。
3. 方法3.1 风险识别风险识别是评估信息安全风险的第一步。
我们将采用以下方法识别潜在的信息安全风险：- 审查组织的信息系统和数据处理流程；- 进行信息资产清单，确定重要的信息资产；- 进行系统漏洞扫描，发现可能的漏洞；- 分析过去的安全事件和事故，了解已有的风险。
3.2 风险评估风险评估是对风险进行定性和定量评估的过程。
我们将采用以下方法评估信息安全风险：- 根据风险的可能性和影响程度，对风险进行定性评估；- 使用合适的风险评估工具和方法，对风险进行定量评估；- 将定性和定量评估的结果进行综合，确定风险的优先级。
3.3 风险控制和管理根据风险评估的结果，我们将提供相应的风险控制和管理措施建议，以帮助组织减轻信息安全风险。
这些建议可能包括：- 加强物理安全措施，如安装监控摄像头、加密锁等；- 加强网络安全措施，如设立防火墙、加密通信等；- 强化员工安全意识培训，提高信息安全意识。
4. 评估结果和报告根据风险评估的结果，我们将生成详细的评估报告，包括以下内容：- 风险识别和评估的过程和方法；- 风险的定性和定量评估结果；- 风险控制和管理的建议；- 风险评估的总结和结论。
5. 实施计划根据评估报告的建议，组织将制定一个实施计划，以逐步减轻信息安全风险。
实施计划可能包括：- 风险控制和管理措施的实施时间表；- 负责人和相关人员的责任和任务；- 监测和评估实施效果的方法和指标。
6. 总结本方案提供了一个系统化和综合的信息安全风险评估方案，为组织提供了识别、评估和管理信息安全风险的方法和建议。
信息安全风险评估方案
信息安全风险评估是一个系统的、持续性的、全面性的工作，它旨在评估组织的信息系统和信息资产所面临的各种威胁和风险。
下面是一个信息安全风险评估的方案，共分为五个步骤。
第一步：确定信息系统和信息资产
首先要确定组织的信息系统和信息资产包括哪些，这包括各类硬件设备、软件系统、数据、网络以及相关的人员和流程等。
第二步：分析威胁和漏洞
在这一步中，需要对已确定的信息系统和信息资产进行分析，找出其所面临的各类威胁和潜在的漏洞。
可以通过分析历史数据、参考相关文献、进行技术测试等方式来确定威胁和漏洞。
第三步：评估风险等级
在这一步中，需要对已识别的威胁和漏洞进行评估，确定其对组织的影响程度和潜在损失，并评估其发生的可能性。
可以使用一些标准方法，如概率和影响矩阵、风险评估矩阵等来评估风险等级。
第四步：制定风险控制措施
在确定了各类威胁和漏洞的风险等级后，下一步是制定相应的风险控制措施。
根据风险等级的不同，可以采取不同的控制措施，如加强网络安全防护措施、完善系统的备份和恢复机制、加强员工的安全意识培养等。
第五步：监控和改进措施
在完成风险控制措施后，还需要对其进行持续的监控和改进。
可以使用一些监控和测量工具来实时监控系统的安全性，对系统的风险等级进行动态调整，并根据监控结果不断改进措施，以提高系统的整体安全性和抵御能力。
以上是一个简要的信息安全风险评估方案，每个步骤都需要细致而周全的工作，以确保对组织的信息系统安全风险进行准确评估，并采取适当的措施进行控制和管理。
信息安全风险评估方案DOC一、引言信息安全是当前各行各业都面临的重要问题，通过对信息安全风险进行评估可以有效地识别和评价可能导致系统和数据受到损害的风险因素，进而采取相应的预防和应对措施，保护信息系统和数据的安全。
本文将介绍一个信息安全风险评估方案，该方案主要包含四个步骤，包括风险识别、风险分析、风险评估和风险处理，以帮助组织有效地管理信息安全风险。
二、方案内容1.风险识别风险识别是评估信息安全风险的第一步，主要目的是识别可能导致系统和数据受到损害的风险因素。
该步骤可以通过对组织内部和外部环境进行分析，了解潜在的威胁和漏洞来进行。
具体的操作包括：-内部环境分析：分析组织内部系统、网络和数据的安全状况，识别可能存在的风险因素，例如人员疏忽、技术缺陷、不当的权限分配等。
-外部环境分析：分析组织外部的威胁和漏洞，例如网络攻击、恶意软件、社会工程等。
可以参考已知的安全漏洞和事件来分析可能的风险因素。
2.风险分析风险分析是对已经识别出来的风险因素进行分析，确定它们对组织的危害程度和潜在损失的可能性。
该步骤可以通过定量和定性的方法来分析风险，具体的操作包括：-定性分析：根据已经识别出来的风险因素，通过专家判断和经验来评估其危害程度，例如利用风险评估矩阵进行分析。
-定量分析：对可能的损失进行估计和量化，例如使用统计数据和模型进行风险分析，计算潜在的经济损失以及可能导致的业务中断时间等。
3.风险评估风险评估是在风险识别和风险分析的基础上，对风险进行评估和排序，确定优先处理的风险。
该步骤可以通过以下方式进行：-风险评估矩阵：根据风险的危害程度和潜在损失的可能性，进行风险的排序和评估。
-风险等级划分：根据风险的评估结果，将风险分为高、中、低三个等级，以确定处理的优先级。
4.风险处理风险处理是根据风险的评估结果，采取相应的措施来降低风险的发生概率和影响程度。
-风险避免：通过防范措施和强化安全策略，避免风险的发生。
-风险转移：将部分风险通过购买保险等方式转移给第三方。
信息安全风险评估方案下面是一个针对信息安全风险评估的方案，它包括五个关键步骤：1.识别信息资产：首先，组织需要明确其重要的信息资产。
这包括客户数据、财务信息、合同等。
通过对信息资产的清单仔细审核，可以确定需要保护的关键数据和系统。
2.评估风险：在这一步骤中，组织需要识别潜在的威胁和脆弱性，以及它们对信息资产的影响程度。
组织可以使用不同的评估方法，如定量和定性评估，来确定每个风险的概率和严重程度。
3.评估现有控制和措施：这一步骤中，组织应该评估其已经实施的安全控制和措施的有效性。
这包括物理安全、网络安全、访问控制等。
通过评估现有的控制和措施，组织可以确定其有效性，以及是否存在潜在的风险。
4.识别和评估潜在的风险：在这一步骤中，组织需要识别可能会导致潜在风险的威胁和脆弱性。
这包括内部威胁（如不当使用、内部攻击等）和外部威胁（如黑客攻击、恶意软件等）。
通过评估这些潜在风险的概率和影响程度，组织可以确定其重要性和优先级。
5.制定风险管理策略：最后，组织需要制定适当的风险管理策略。
这包括确定风险缓解措施、优先级和时间表。
组织还应该考虑到预算限制、资源限制和法规要求等因素。
制定风险管理策略时，组织应当同时关注信息安全技术和人员培训，以保证其有效性。
除了以上的五个步骤，信息安全风险评估还应该有一个监控和反馈的过程。
组织应该定期对已实施的风险缓解措施进行评估，并及时调整策略和措施，以适应变化的风险环境。
总之，信息安全风险评估是一个组织评估其信息系统中存在的潜在风险和脆弱性的过程。
通过采用上述的方案和方法，组织可以全面了解其风险状况，并制定相应的风险管理策略来保护其信息资产。
信息安全风险评估工作计划一、引言随着信息技术的快速发展和广泛应用，信息安全风险也日益凸显。
信息安全风险评估工作成为企业和组织确保信息安全的重要手段。
本文旨在提出一份高质量的信息安全风险评估工作计划，以帮助企业和组织有效应对信息安全风险。
二、背景和目的1. 背景：简要说明为什么进行信息安全风险评估工作。
例如，企业承载了大量的敏感信息，面临着来自内外部的各种安全威胁。
2. 目的：明确信息安全风险评估工作的目标。
例如，全面了解企业信息系统中的风险，找出潜在的风险源，并提供相应的风险管理建议。
三、工作范围说明信息安全风险评估工作的具体范围，包括以下方面：1. 系统范围：确立需要进行评估的信息系统范围，包括具体的硬件、软件和网络设施。
2. 风险类型：确定需要评估的风险类型，例如物理安全、网络安全、数据安全等。
四、工作流程1. 信息收集：收集与企业信息系统相关的信息，包括系统配置、网络拓扑、安全策略等。
2. 风险识别：基于信息收集的结果，识别潜在的信息安全风险，包括可能的风险类型、风险等级等。
3. 风险评估：根据已识别的风险，评估其可能造成的影响和概率，计算风险的综合等级。
4. 风险分析：对已评估的风险进行分析，确定风险的根本原因和可能的风险来源。
5. 风险管理建议：根据风险分析的结果，提供相应的风险管理建议，包括控制措施、安全政策优化等。
6. 报告编制：撰写信息安全风险评估报告，并以清晰、准确的语言向企业管理层提供评估结果和建议。
五、工作时间和资源1. 工作时间：规划信息安全风险评估工作的计划时间表，包括每个工作环节所需的时间。
2. 项目团队：确定参与信息安全风险评估工作的团队人员和其职责，包括项目经理、安全专家、风险分析师等。
3. 资源需求：明确信息安全评估工作所需的资源，包括硬件设备、软件工具和其他支持。
六、质量保障措施为了确保信息安全风险评估工作的质量，将采取以下措施：1. 专业人员：确保项目团队成员具备相关技能和经验。
信息安全风险评估方案清晨的阳光透过窗帘的缝隙，洒在键盘上，伴随着咖啡机的咕咕声，我开始构思这个信息安全风险评估方案。
十年的经验告诉我，这是一个需要细心和耐心的过程，我要把所有的细节都考虑到。
我们要明确风险评估的目的。
简单来说，就是找出公司信息系统中的漏洞和风险点，然后制定相应的防护措施。
这就像给公司的网络系统做个体检，看看哪里有问题，然后开个方子治疗。
一、风险评估准备阶段1.确定评估范围：这个阶段，我们要确定评估的范围，包括公司的网络架构、硬件设备、软件系统、数据资源等。
这就像医生先要了解病人的病史和症状。
2.收集信息：我们要收集相关资料，包括公司的安全策略、网络拓扑图、系统配置信息等。
这相当于医生要检查病人的身体各项指标。
3.确定评估方法：评估方法有很多种，比如问卷调查、漏洞扫描、渗透测试等。
我们要根据实际情况，选择合适的方法。
这就好比医生根据病人的情况，选择合适的检查手段。
二、风险评估实施阶段1.问卷调查：通过问卷调查，了解员工对信息安全的认识和操作习惯。
这就像医生询问病人的生活习惯，了解病情的起因。
2.漏洞扫描：使用专业工具，对公司网络设备、系统、应用等进行漏洞扫描。
这就像医生用仪器检查病人的身体，找出潜在的问题。
3.渗透测试：模拟黑客攻击，测试公司信息系统的安全性。
这相当于医生让病人做一些特殊的动作，看看身体是否会出现异常。
三、风险评估分析与报告1.分析数据：整理收集到的数据，分析公司信息系统的安全状况。
这就像医生分析病人的检查结果，找出问题所在。
2.编制报告：根据分析结果，编写风险评估报告。
报告要包括风险评估的结论、存在的问题、风险等级等。
这就好比医生给病人出具的诊断报告。
四、风险评估后续工作1.制定整改措施：针对评估报告中指出的问题，制定相应的整改措施。
这就像医生给病人开具的治疗方案。
2.实施整改：根据整改措施，对公司信息系统进行升级和优化。
这就像病人按照医生的建议，进行治疗。
3.跟踪检查：整改完成后，要定期进行跟踪检查，确保信息安全。
一、前言随着信息技术的飞速发展，信息安全已成为企业运营和客户信任的重要保障。
为有效识别、评估和控制信息安全风险，确保企业业务连续性和客户数据安全，特制定本信息安全风险评估工作计划。
二、工作目标1. 完善信息安全风险评估体系，提高信息安全风险防控能力。
2. 识别企业信息安全风险，评估风险程度，制定针对性风险应对措施。
3. 提高员工信息安全意识，降低人为因素引发的信息安全事件。
三、工作范围1. 信息系统安全：包括网络设备、服务器、数据库、应用系统等。
2. 物理安全：包括办公场所、数据中心、存储设备等。
3. 数据安全：包括客户数据、内部数据、交易数据等。
4. 人员安全：包括员工信息安全意识、操作规范等。
四、工作步骤1. 前期准备- 组建风险评估团队，明确团队职责和分工。
- 制定风险评估计划，包括时间节点、工作内容、评估方法等。
- 调研企业现有信息安全管理制度、技术手段和人员配置。
2. 资产识别- 对企业信息系统、物理设施、数据等进行全面梳理，识别信息资产。
- 评估信息资产的价值，确定风险评估的重点。
3. 威胁识别- 分析企业面临的安全威胁，包括外部威胁和内部威胁。
- 评估威胁发生的可能性，确定潜在风险。
4. 脆弱性识别- 分析信息资产存在的脆弱性，包括系统漏洞、管理漏洞等。
- 评估脆弱性被利用的可能性，确定风险等级。
5. 风险评估- 根据资产价值、威胁可能性和脆弱性，对风险进行综合评估。
- 确定风险等级，制定风险应对措施。
6. 风险应对- 针对高风险，制定整改方案，明确整改责任人、整改时间等。
- 针对中低风险，制定预防措施，降低风险发生的概率。
7. 持续改进- 定期开展风险评估，跟踪风险变化情况。
- 优化信息安全管理体系，提高企业信息安全水平。
五、工作要求1. 高度重视，加强组织领导，确保风险评估工作顺利进行。
2. 精准评估，确保风险评估结果客观、准确。
3. 严格执行，落实风险应对措施，降低信息安全风险。
信息安全风险评估要求
1.全面评估信息系统的安全风险。
包括评估系统内外存在的潜
在漏洞、网络攻击风险、物理和环境风险等方面的安全风险。
2.对不同安全风险进行分类和定级。
将安全风险按照其严重程
度和对系统的影响程度进行分类和评级，以便于确定风险的优先级和处理方案。
3.识别系统中可能存在的威胁和攻击方式。
分析系统的业务特
点和运行环境，确定可能的威胁和攻击方式，以便于有针对性地采取相应的防护措施。
4.评估现有的安全措施和技术控制的有效性。
审查现有的信息
安全控制措施和技术控制措施，评估其对安全风险的控制效果，是否能够满足安全需求。
5.评估组织的信息安全管理体系和流程。
检查组织的信息安全
管理制度和相关流程，包括人员的安全意识和培训、安全策略和政策的制定和执行等方面。
6.制定信息安全风险应对方案。
根据评估的安全风险等级和影
响程度，制定相应的风险应对方案，包括安全控制措施的改进和加强、应急响应预案的制定和演练等。
7.持续监测和更新风险评估结果。
信息安全风险评估是一个持
续的过程，需要定期监测和更新评估结果，及时发现和应对新的安全风险。
8.交流和沟通风险评估结果。
将评估结果向组织内部的相关部门和人员进行交流和沟通，提高组织对信息安全风险的认识和理解，增强信息安全的意识和责任心。
信息安全风险评估需求方案HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】信息安全风险评估需求方案一、项目背景多年来，天津市财政局（地方税务局）在加快信息化建设和信息系统开发应用的同时，高度重视信息安全工作，采取了很多防范措施，取得了较好的工作效果，但同新形势、新任务的要求相比，还存在有许多不相适应的地方。
2009年，国家税务总局和市政府分别对我局信息系统安全情况进行了抽查，在充分肯定成绩的同时，也指出了我局在信息安全方面存在的问题。
通过抽查所暴露的这些问题，给我们敲响了警钟，也对我局信息安全工作提出了新的更高的要求。
因此，天津市财政局（地方税务局）在对现有信息安全资源进行整合、整改的同时，按照国家税务总局信息安全管理规定，结合本单位实际情况确定实施信息安全评估、安全加固、应急响应、安全咨询、安全事件通告、安全巡检、安全值守、安全培训、应急演练服务等工作内容（以下简称“安全风险评估”），形成安全规划、实施、检查、处置四位一体的长效机制。
二、项目目标通过开展信息“安全风险评估”, 完善安全管理机制；通过安全服务的引入，进一步建立健全财税系统安全管理策略，实现安全风险的可知、可控和可管理；通过建立财税系统信息安全风险评估机制，实现财税系统信息安全风险的动态跟踪分析，为财税系统信息安全整体规划提供科学的决策依据，进一步加强财税内部网络的整体安全防护能力，全面提升我局信息系统整体安全防范能力，极大提高财税系统网络与信息安全管理水平；通过深入挖掘网络与信息系统存在的脆弱点，并以业务系统为关键要素，对现有的信息安全管理制度和技术措施的有效性进行评估，不断增强系统的网络和信息系统抵御风险安全风险能力，促进我局安全管理水平的提高，增强信息安全风险管理意识，培养信息安全专业人才，为财税系统各项业务提供安全可靠的支撑平台。
三、项目需求（一）服务要求1基本要求“安全风险评估服务”全过程要求有据可依，并在产品使用有据可查，并保持项目之后的持续改进。
针对用户单位网络中的IT 设备及应用软件，需要有软件产品识别所有设备及其安全配置，或以其他方式收集、保存设备明细及安全配置，进行资产收集作为建立信息安全体系的基础。
安全评估的过程及结果要求通过软件或其他形式进行展示。
对于风险的处理包括：协助用户制定安全加固方案、在工程建设及日常运维中提供安全值守、咨询及支持服务，通过安全产品解决已知的安全风险。
在日常安全管理方面提供安全支持服务，并根据国家及行业标准制定信息安全管理体系，针对安全管理员提供安全培训，遇有可能的安全事件发生时，提供应急的安全分析、紧急响应服务。
2安全评估评估的范围应全面，涉及到网络信息系统的各个方面，包括物理环境、网络结构、应用系统、数据库、服务器及网络安全设备的安全性、安全产品和技术的应用状况以及管理体系是否完善等等；同时对管理风险、综合安全风险以及应用系统安全性进行评估；评估采用专业工具扫描（漏洞扫描、数据库扫描采用产品必须为商业化产品）、人工评估、渗透测试三种相结合的方式，对各种操作系统进行评估，包括：帐户与口令安全、网络服务安全、内核参数安全、文件系统安全、日志安全等；从应用系统相关硬件、软件和数据等方面来审核应用所处环境下存在哪些威胁，根据应用系统所存在的威胁，来确定需要达到哪些系统安全目标才能保证应用系统能够抵挡预期的安全威胁。
其他评估内容应至少包括以下几方面：信息探测类网络设备与防火墙RPC服务Web服务CGI问题文件服务域名服务Mail服务Windows远程访问数据库问题SQL 注入跨站脚本攻击后门程序其他服务网络拒绝服务(DOS)其他问题信息安全专项检查工作。
3安全加固每次对用户单位网络信息系统进行全面评估后应立即制定安全加固方案，另外如用户单位有紧急需求时可随时安排制定安全加固方案。
安全加固方案应覆盖用户单位IT系统中所有服务器和网络设备，以及不同类别的操作系统、数据库和应用系统。
安全加固方案不能影响用户单位各项业务的正常进行，如果加固过程需要暂时中断业务，须设计具体的解决方案。
同时，随着信息技术的发展，当新的漏洞出现时，评估单位有责任和义务告知用户，并配合用户判定是否进行相应的加固工作；4紧急响应当用户单位信息系统出现安全事件后，用户可立即启动紧急响应服务，服务应包括远程紧急响应和现场紧急响应；紧急响应均要求7×24小时提供。
紧急响应要求在响应请求发出2小时内由工程师到达事故现场，协助用户进行处理；响应服务完成后评估单位需整理详细的事故处理报告，内容至少包括事故原因分析、已造成的影响、处理办法、处理结果、预防和改进建议；5安全咨询评估单位应根据ISO17799等多个标准的相关要求对安全策略、安全制度、安全流程进行审计，提供改进建议，建立信息安全的“统一”策略管理机制，并对用户单位信息安全体系建设规划、信息安全管理体系、信息安全管理制度建设、安全域划分等相关内容提出符合国家及行业标准的合理化建议，并制定完整的解决方案。
对于新建信息化项目应从业务需求分析、系统设计、部署实施、测试验收等全周期提供技术咨询支持。
6 安全事件通告评估单位应具备专门的安全研究人员以跟踪最新安全技术发展、收集业界发布的最新安全信息及时通告用户单位最新的安全动态、安全技术的发展趋势，以及时效性很强的漏洞、攻击手法、病毒码的预先通知；评估单位至少每月提供一次汇总的安全通告信息，当厂商或安全组织发布紧急安全通告后评估单位应在三天之内提供给人保相关通告信息；及时提供最新的设备补丁，随时根据用户需求，提供相应安全漏洞与响应的安全系统升级代码；及时向招标人提供国家颁发的最新安全制度与法规。
7安全巡检包括不限于以人工方式检查主机系统和网络设备的日志信息、安全配置以及审计信息等，提出安全策略建议；如发现异常现象或安全问题，及时向用户单位反馈，并提供后续技术支持，配合问题的查处和解决。
要求每月对安全防护产品进行一次巡检服务，并生成巡检报告；每季度对所有主机、数据库、网络、安全产品进行一次全面巡检，并生成巡检报告。
8安全值守服务要求评估单位在重大节假日及特殊时期安排技术人员提供安全值守服务（包含在用户单位值守及远程值守）。
9安全培训服务要求每年安排两次信息安全管理及技术培训（培训只负责提供师资及培训教材，培训教材可为电子版），同时，要求提供四人次专业技术认证培训（含食宿）。
10应急演练服务要求配合用户制定信息系统风险应急响应方案，并每年至少安排一次信息系统风险应急演练。
（二）服务原则为保障安全风险评估工作的有序进行，特提出以下原则：1.保密性原则要求评估单位与用户签订保密协议，在进行信息安全风险评估的过程中，严格遵循保密原则，评估过程中采取严格的管理措施，确保所涉及到的任何用户保密信息，不会泄露给第三方单位或个人，不得利用这些信息损害用户利益。
2.最小影响原则要求从项目管理和技术应用的层面，在风险评估工作实施过程对我局现有信息系统和网络的正常运行所可能的影响降到最低程度；要求制定风险评估过程中的风险规避方案及应急措施。
3.规范性原则要求评估机构在充分总结多年开展信息系统安全风险评估实践经验的基础上，确定规范的方案；在此次信息安全风险评估任务执行过程中，通过规范的项目管理，在人员、项目实施环节、质量保障和时间进度等方面进行严格管控。
4.标准化原则风险评估工作要求严格遵守国家和行业的相关法规、标准，并参考国际的标准来实施。
5.完整性原则完整性原则包含以下两个层次的内容：评估内容的完整性——要求在风险评估工作中，要综合考虑所评估信息系统的技术措施、人员、业务及运行维护等方面，含盖信息安全风险评估合同要求。
评估流程的完整性——要求信息安全评估过程应遵循科学性、规范性、严谨性原则。
6.互动性原则在进行信息安全风险评估过程中，要求必须有用户单位人员参与，双方共同组成项目实施部门，进行项目实施，从而保证项目执行的效果并提高受我局的整体安全技能和安全意识。
（三）评估内容1.信息系统安全管理状况检查评估各种安全制度的建立情况，包括：对终端计算机访问互联网的相关制度；对终端计算机接入内网的相关制度；使用移动存储介质的制度；系统的业务应用人员、系统的开发、维护、管理人员、系统开发、维护人员相关安全管理制度等。
2.网络架构、网络安全设备评估范围包括：业务办公内网、业务外网、办公外网、外部单位联网等；分析网络拓扑结构是否清晰划分网络边界；评估网络的安全区域划分以及访问控制措施。
3.对资产自身存在的脆弱性进行收集和整理物理环境，包括 UPS、变电设备、空调、门禁等。
交换机，包括核心交换机20台，接入交换机20台。
检查安全漏洞和补丁的升级情况，各VLAN间的访问控制策略；口令设置和管理，口令文件的安全存储形式；配置文件的备份。
路由器，包括核心路由器5台，接入路由器10台。
检查操作系统是否存在安全漏洞；配置方面，检测端口开放、管理员口令设置与管理、口令文件安全存储形式、访问控制表；是否能对配置文件进行备份和导出；关键位置路由器是否有冗余配置。
安全设备，包括防火墙、入侵检测系统、网闸、防病毒、桌面管理、审计、加密机、身份鉴别等；共约20台。
查看安全设备的部署情况。
查看安全设备的配置策略；查看安全的日志记录；通过漏洞扫描系统对安全进行扫描。
通过渗透性测试检安全配置的有效性。
4.重要服务器的安全配置小型机约60台、服务器约200台。
登录安全检测；用户及口令安全检测；共享资源安全检测；系统服务安全检测；系统安全补丁检测；日志记录审计检测；木马检测。
5.核心业务系统的安全性对我局核心业务信息系统，在需求分析和设计阶段是否充分识别安全需求；是否能确保系统文件的安全；是否能采取措施保护应用系统开发和维护过程中的信息安全。
核查“津税系统”“非税收入”“税管员平台”等重要业务系统数据访问控制情况，敏感文档资料、服务器、用户终端、数据库等数据加密保护能力。
对门户网站进行渗透性测试；对网上报税等核心业务系统进行渗透性测试；对网络边界进行渗透性测试；对内网进行渗透性测试。
（四）评估的应用系统1.应用系统2.数据库（1）外网远程电子报税系统数据库（2）津税系统数据库（3）津税系统查询机（4）税管员平台数据库（5）税管员平台ODS数据库（6）非税收入（7）会计无纸化考试数据库（8）国库集中支（9）部门预算（10）财税政务网、天津会计网（11）固定资产管理3.外部数据交换（1）津税系统人行数据交换（2）津税系统残联数据交换（3）国税联合办证数据交换（4）国税国地共享（5）施管站数据交换（6）车船税数据交换（7）房管局契税数据交换（8）非税收入MQ4.操作系统应用系统和数据库涉及到的主机操作系统。
