1 XX公司信息安全风险评估报告 一、信息安全与信息安全风险评估概述 （一） 信息安全风险 信息安全风险指信息资产的可用性、保密性、完整性受到破坏的可能及其对XX公司（下称“XXXX”）造成的负面影响。基于安全风险，信息安全管理的核心在于通过识别风险、选择对策、实施对策以减缓风险，最终保证信息资产的保密性、安全性和可用性能够满足XXXX要求。对于XXXX而言，获得信息和信息系统的稳定支持，是将信息安全风险降到最低，从而实现投资商业目标的重要保障。 （二） 信息安全风险评估 信息安全风险评估是参照XXXX规章制度和风险评估标准，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。 本次信息安全风险评估参考文件有：《XXXX有限责任公司风险管理办法》、《XXXX有限责任公司风险管理指引》、《XXXX有限责任公司风险政策指引》、《XXXX有限责任公司固定资产管理办法》、国家标准《信息系统安全等级评测准则》等。 （三）风险评估相关概念 风险评估涉及如下概念： 1、资产：任何对XXXX有价值的事物，包括计算机硬件、通信设施、数据库、软件、信息服务和人员等。 2 2、威胁：指可能对资产造成损害的事故的潜在原因。例如，XXXX的网络系统可能受到来自计算机病毒和黑客攻击的威胁。 3、脆弱点：是指资产或资产组中能被威胁利用的弱点。如员工缺乏信息安全意识，OA系统本身有安全漏洞等。 4、安全需求：为保证XXXX业务战略的正常运作而在安全措施方面提出的要求。 5、风险：特定威胁利用资产的脆弱点给资产或资产组带来损害的潜在可能性。 6、残留风险：在实施安全措施之后仍然存在的风险。 7、风险评估：对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。 二、信息安全风险评估工作设计 （一）信息安全风险评估目的 此次风险评估的目的是全面、准确地了解XXXX的信息管理安全现状，发现系统的安全问题及其可能的危害，为保证系统的最终安全提供建议。 （二）信息安全风险评估相关规章制度及技术标准 《XXXX有限责任公司风险管理办法》 《XXXX有限责任公司风险管理指引》 《XXXX有限责任公司风险政策指引》 《XXXX有限责任公司固定资产管理办法》 3 《信息系统安全等级评测准则》 《XXXX有限责任公司员工办公电脑管理办法》 《信息技术、安全技术、信息安全性评估准则》（GB/T18336-2001） （三）信息安全风险评估方法 本次信息安全风险评估工作主要采用工作人员自查、文档信息挖掘和评估人员分析三种方式。在此基础上，从筛选资产、研判威胁和分析脆弱性三个方面进行全面评价。评估方法为风险矩阵测量方法，在资产、威胁和脆弱性的不同维度上赋值，以此得出较为客观的评估。 （四）信息安全风险评估模型 参考国际标准GB/T 18336-2001，建立信息系统风险评估模型如图：
引 言 值 扇 食 厕 险 值
马立钢 ． 夏军利
（空军工程大学电讯工程学院。西安７１００７７）
摘要：信息安全是一个动态复杂的过程．保证信息安全、建立信息安全管理体系已成为目前社会各行业 发展的首要任务。风险评估必须用到评估工具采完成对信息保护的工作．从而建立信息安全的 管理体系。 关键词：信息；安全风险评估；评估工具
当今时代是信息时代。信息自然成为了第一战略 资源．信息与网络的运用亦是二十一世纪国力的象 征．以网络为载体、信息资源为核心的新经济改变了 传统的资产运营模式．没有各种信息的支持，经济载 体的生存和发展空间就会受到限制，国家的政治、军 事等职能部门就不能正常地维持发展。信息的重要性 使得它面临着来自各方面的层出不穷的挑战，因此， 需要对信息资产加以妥善保护。在现实环境中，信息 总是要面临着各种各样的威胁。信息安全风险是必然 的。在这种情况下．通过适当的、足够的。有时候是综 合的安全措施来控制风险。最终目的是使残余下来的 风险可以降低到最低程度。任何信息系统都会有安全 风险，所以，人们追求的所谓安全的信息系统，实际是 指信息系统在实施 风险评估并做出风险控制后，仍 然存在的残余风险可被接受的信息系统。 １ 信息安全风险评估概述 安全风险是一种潜在的、负面的东西，处于未发 生的状态。与之对应的安全事件是一种 在的、负面 的东西，处于已发生的状态。风险是事件的前提．而事 件是风险的即定结果。风险砰估的目的就是要识别风 险．以便采取相应的措施来阻止其演变成为事件。 信息系统的安全风险，是说信息系统一定会存在 若脆弱件，就是我们常说的技术卜的漏｝ｆ司，可以被利 用的漏洞．再加ｊ二人为或自然的威胁．导致一些信息 安全事件的发生的町能性及其造成的影响。信息安全 风险评估是指对信息系统及其处理的传输和存储的 ＩＴ论坛
信息的保密性、完整性和可用性等安全属性进行科学 识别和评价的过程。可是人们认识能力和实践能力， 从阶段性的考虑来说总是有局限性的，因此信息系统 存在的脆弱性是不可避免的．而这些原因的来源就是 由于人为的错误所造成的．对于现在所使用的一个庞 大的、复杂的技术系统来说．在长时间内是不可避免 的。 风险评估的意义和作用： ①风险评估是信息系统安全的基础性丁作，它是 观察过程的一个持续的工作。 ②风险评估是分级防护和突出重点的具体体现。 分级保护的出发点就是要突出重点．要突出重点要害 部位，分级负责，分层实施。 ③加强风险评估Ｔ作是当前信息安全工作的客 观需要和紧迫需求。信息系统安全风险评估的总体目 标是认清信息安全环境、信息安全状况。有助于达成 公式，明确责任，采取或完善安全保障措施，使其更加 经济有效，并使信息安全策略保持一致性和持续性。 ２信息安全风险评估理论模型 在讨论信息安全风险评估理论模型之前，我们先 研究一下信息安全风险模型．即信息和风险之间的火 系。信息存在保密性、完整性、可用性 个安全属性， 但信息并不是孤立存在的，总是依托于信息的产生、 存储、传递和加工处理等过程，而这些过程叉依赖于 存储介质、传输媒体、信息处理设施等。信息安全风险 是指信息的保密性、完整性、可用性遭到破坏。实际上 就是信息在产牛、存储、传递或加工处理的过程中的
龙源期刊网
信息安全的风险评估
作者：吴俊森
来源：《电脑知识与技术》2014年第32期
摘要：随着科技信息化的发展，信息安全问题成为信息系统最重要的问题之一。信息安全风险评估是建立信息系统安全体系的基础，能有力保障信息系统的安全性，促进国家信息化的发展。该文将对我国信息安全的风险评估问题进行探讨，并对信息安全风险评估的相关问题提出相应对策。
关键词：信息安全；风险评估；现状问题；对策
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）32-7601-02
信息产业的迅猛发展，使得信息化技术成为社会发展的必要组成部分，信息化技术为国民经济的发展注入了新鲜的活力，更加速了国名经济的发展和人民生活水平的提高。当然，人们在享受信息技术带来的巨大便利时，也面临着各种信息安全问题带来的威胁。这种信息安全事件带来的影响是恶劣的，它将造成巨大的财产损失和信息系统的损害。因此，信息系统的安全问题不得不引起社会和民众的关注，完善信息系统的安全性，加强信息安全的风险评估成为亟待解决的问题。
1 信息安全风险评估概述及必要性
1.1 信息安全风险评估概述
首先，信息安全风险，主要是指人为或自然的利用信息系统脆弱性操作威胁信息系统，以导致信息系统发生安全事件或造成一定消极影响的可能。而信息安全风险评估简单的理解，就是以减少信息安全风险为目的通过科学处理信息系统的方法对信息系统的保密性、完整性进行评估。信息安全风险评估工作是一项保证信息系统相对安全的重要工作，必须科学的对信息系统的生命周期进行评估，最大限度的保障网络和信息的安全。
1.2 信息安全风险评估的必要性
信息安全评估是为了更好的保障信息系统的安全，以确保对信息化技术的正常使用。信息安全风险评估是信息系统安全管理的必要和关键的环节，因为信息系统的安全管理必须建立在科学的风险评估基础上，科学的风险评估有利于正确判断信息系统的安全风险问题，提供风险问题的及时解决方案。
信息安全风险评估与控制指南及信息安全管理制度
在当今信息化社会，信息安全问题日益突出，对于各行业而言，保护数据安全和信息资产已成为一项战略任务。为了有效应对信息安全风险，各行业应制定相应的规范、规程和标准，并建立健全的信息安全管理制度。本文将从信息安全风险评估与控制的角度，探讨各行业应采取的措施。
一、信息安全风险评估
信息安全风险评估是防范信息安全威胁、保护信息系统、确保信息资产安全的重要环节。各行业应采用科学和系统的方法进行风险评估，以便确定威胁和风险的来源，并为安全投资、绩效管理、风险管理和决策制定提供依据。
1. 确定风险评估的范围和目标
为了更好地进行风险评估，各行业需要明确风险评估的范围和目标。范围可以包括信息系统、网络设备、数据存储等，目标可以包括信息泄露、未经授权的访问、系统故障等。
2. 识别和评估信息安全威胁
在风险评估过程中，各行业应识别可能造成信息安全威胁的因素，例如黑客攻击、病毒传播、物理灾害等，并对其潜在影响和可能性进行评估。 3. 评估风险的严重性和可能性
风险的严重性与可能性是评估风险的关键指标。各行业应建立相应的评估模型，并根据实际情况对风险进行定量或定性评估，以确定风险的严重性和可能性。
4. 制定风险应对策略
在评估完信息安全风险后，各行业需要制定相应的应对策略。应对策略可以包括防范措施、责任人分工、演练计划等，以最大程度降低风险的发生和影响。
二、信息安全管理制度
信息安全管理制度是保障信息安全的基础和关键。各行业应建立健全的信息安全管理制度，以规范各项信息安全工作，并确保信息安全目标得以实现。
1. 建立信息安全管理组织结构
建立信息安全管理组织结构是有效管理信息安全的基础。各行业应设立信息安全管理部门或委托专业机构负责信息安全管理，并明确责任和权限。
2. 制定信息安全政策和规程
信息安全政策和规程是信息安全管理的指导方针。各行业应根据实际情况制定相关政策和规程，包括信息资产分类与保护、权限管理、密码策略等，以确保信息安全的全面管理。 3. 进行信息安全培训和教育
