信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)資質(zhì)認(rèn)證自評(píng)估表

信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)資質(zhì)認(rèn)證自評(píng)估表組織名稱(chēng)申報(bào)級(jí)別評(píng)估時(shí)間評(píng)估部門(mén)人員序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合1.服務(wù)技術(shù)要求建立信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)流程。按照相關(guān)標(biāo)準(zhǔn)建立的信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)流程，流程圖中應(yīng)包括每個(gè)階段對(duì)應(yīng)的職責(zé)、輸入輸生等。

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合2.制定信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)規(guī)范并按照規(guī)范實(shí)施。已制定的信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)規(guī)范。3.基本資格僅三級(jí)要求：至少有一個(gè)完成的風(fēng)險(xiǎn)評(píng)估項(xiàng)目，該系統(tǒng)的用戶(hù)數(shù)在以上；具備從管理或（和）技術(shù)層面對(duì)脆弱性進(jìn)行識(shí)別的能力。一個(gè)已完成項(xiàng)目的合同、用戶(hù)數(shù)、驗(yàn)收的證明材料，包括管理或（和）技木層面脆弱性識(shí)別的材料。4.僅一級(jí)要求：針對(duì)多種類(lèi)型組織，多行業(yè)組織，至少完成一個(gè)風(fēng)險(xiǎn)評(píng)估項(xiàng)目，該系統(tǒng)的用戶(hù)數(shù)在以個(gè)已完成項(xiàng)目的合同、用戶(hù)數(shù)、驗(yàn)收的證明材料，包括管理和技術(shù)層面脆弱性識(shí)別的材

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合上；具備從管理和技術(shù)層面對(duì)脆弱性進(jìn)行識(shí)別的能力。料。5.僅一級(jí)要求：能夠在全國(guó)范圍內(nèi)，針對(duì)個(gè)（含）以上行業(yè)開(kāi)展風(fēng)險(xiǎn)評(píng)估服務(wù)；至少完成兩個(gè)風(fēng)險(xiǎn)評(píng)估項(xiàng)目，該系統(tǒng)的用戶(hù)數(shù)在以上；具備從業(yè)務(wù)、管理和技術(shù)層面對(duì)脆弱性進(jìn)行識(shí)別的能力。個(gè)已完成項(xiàng)目的合同、用戶(hù)數(shù)、驗(yàn)收的證明材料，從業(yè)務(wù)、管理和技術(shù)層面對(duì)脆弱性進(jìn)行識(shí)別的材料。6.僅三級(jí)要求：具備跟蹤信跟蹤信息安全漏洞的證

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合息安全漏洞的能力明材料7.僅二級(jí)要求：具備跟蹤、驗(yàn)證信息安全漏洞的能力。跟蹤、驗(yàn)證信息安全漏洞的證明材料8.僅一級(jí)要求：具備跟蹤、驗(yàn)證、挖掘信息安全漏洞的能力。跟蹤、驗(yàn)證、挖掘信息安全漏洞的證明材料。9.準(zhǔn)備階段服務(wù)方案制定編制風(fēng)險(xiǎn)評(píng)估方案、風(fēng)險(xiǎn)評(píng)估模板，并在項(xiàng)目實(shí)施過(guò)程中按照模板實(shí)施。信息安全風(fēng)險(xiǎn)評(píng)估方案、風(fēng)險(xiǎn)評(píng)估模板。10.應(yīng)為風(fēng)險(xiǎn)評(píng)估實(shí)施活動(dòng)提供總體計(jì)劃或方案，方案已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估方案，方案中應(yīng)包含風(fēng)

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合應(yīng)包含風(fēng)險(xiǎn)評(píng)價(jià)原則。險(xiǎn)評(píng)價(jià)原則。11.僅二級(jí)一級(jí)要求：應(yīng)進(jìn)行充分的系統(tǒng)調(diào)研，形成調(diào)研報(bào)告。已完成項(xiàng)目的系統(tǒng)調(diào)研報(bào)告，報(bào)告中對(duì)被評(píng)估對(duì)象有清晰的描述。12.僅二級(jí)一級(jí)要求：宜根據(jù)風(fēng)險(xiǎn)評(píng)估目標(biāo)以及調(diào)研結(jié)果，確定評(píng)估依據(jù)和評(píng)估方法。已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估實(shí)施方案中應(yīng)根據(jù)目標(biāo)及調(diào)研結(jié)果，明確評(píng)估依據(jù)和評(píng)估方法，評(píng)估依據(jù)和評(píng)估方法符合國(guó)家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)及相關(guān)要求。13.僅二級(jí)一級(jí)要求：應(yīng)形成較為完整的風(fēng)險(xiǎn)評(píng)估實(shí)施方案。14.準(zhǔn)備階應(yīng)組建評(píng)估團(tuán)隊(duì)。風(fēng)險(xiǎn)評(píng)已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合段人員和工具管理估實(shí)施團(tuán)隊(duì)?wèi)?yīng)由管理層、相關(guān)業(yè)務(wù)骨干、技術(shù)人員等組成。方案中對(duì)風(fēng)險(xiǎn)評(píng)估實(shí)施團(tuán)隊(duì)成員及團(tuán)隊(duì)構(gòu)架的介紹。15.應(yīng)根據(jù)評(píng)估的需求準(zhǔn)備必要的工具。已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估方案中對(duì)評(píng)估工具的介紹，工具列表及主要功能描述。項(xiàng)目實(shí)施前的安全教育應(yīng)對(duì)評(píng)估團(tuán)隊(duì)實(shí)施風(fēng)險(xiǎn)評(píng)及技術(shù)培訓(xùn)的證明材16.估前進(jìn)行安全教育和技術(shù)培訓(xùn)。料，如啟動(dòng)會(huì)的，中包含培訓(xùn)的內(nèi)容，以及其

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合他可證明對(duì)其安全教育、技術(shù)方面培訓(xùn)的材料。17.僅二級(jí)一級(jí)要求：需米取相關(guān)措施，保障工具自身的安全性、適用性。工具的安全測(cè)試證明材料；定期或工具軟件有重大版本變更時(shí)，對(duì)工具軟件進(jìn)行適用性確認(rèn)的測(cè)試記錄。18.僅級(jí)要求：需米取相關(guān)措施，保障工具管理的規(guī)范性。已制定的工具管理制度及執(zhí)行記錄。19.風(fēng)險(xiǎn)識(shí)參考國(guó)家或國(guó)際標(biāo)準(zhǔn)，對(duì)參照已發(fā)布的標(biāo)準(zhǔn)，形

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合別階段資產(chǎn)識(shí)別資產(chǎn)進(jìn)行分類(lèi)。成的資產(chǎn)分類(lèi)列表。20.識(shí)別重要信息資產(chǎn)，形成資產(chǎn)清單。已完成項(xiàng)目的重要資產(chǎn)清單。21.對(duì)已識(shí)別的重要資產(chǎn)，分析資產(chǎn)的保密性、完整性和可用性等安全屬性的等級(jí)要求。已完成項(xiàng)目的重要資產(chǎn)的三性等級(jí)要求列表。22.對(duì)資產(chǎn)根據(jù)其在保密性、完整性和可用性上的等級(jí)分析結(jié)果，經(jīng)過(guò)綜合評(píng)定進(jìn)行賦值。已完成項(xiàng)目的重要資產(chǎn)賦值表。23.僅一級(jí)要求：識(shí)別信息系已完成項(xiàng)目中識(shí)別信息

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合統(tǒng)處理的業(yè)務(wù)功能，重點(diǎn)系統(tǒng)、以及業(yè)務(wù)系統(tǒng)承識(shí)別由關(guān)鍵業(yè)務(wù)功能和關(guān)載的業(yè)務(wù)、業(yè)務(wù)流程的鍵業(yè)務(wù)流程。證明材料。24.僅一級(jí)要求：根據(jù)業(yè)務(wù)特點(diǎn)和業(yè)務(wù)流程識(shí)別由關(guān)鍵數(shù)據(jù)和關(guān)鍵服務(wù)。已完成項(xiàng)目中識(shí)別信息系統(tǒng)、以及業(yè)務(wù)系統(tǒng)承載的業(yè)務(wù)、業(yè)務(wù)流程的證明材料。25.僅一級(jí)要求：識(shí)別處理數(shù)據(jù)和提供服務(wù)所需的關(guān)鍵系統(tǒng)單元和關(guān)鍵系統(tǒng)組件。已完成項(xiàng)目中對(duì)處理數(shù)據(jù)和提供服務(wù)所需的關(guān)鍵系統(tǒng)單元和關(guān)鍵系統(tǒng)組件的識(shí)別分析證明材料。

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合26.風(fēng)險(xiǎn)識(shí)別階段脆弱性識(shí)別應(yīng)對(duì)已識(shí)別資產(chǎn)的安全管理或技術(shù)脆弱性利用適當(dāng)?shù)墓ぞ哌M(jìn)行核查，并形成安全管理或技術(shù)脆弱性列表。已完成項(xiàng)目中對(duì)脆弱性識(shí)別時(shí)使用的工具列表、管理或技術(shù)脆弱性列表。27.應(yīng)對(duì)脆弱性進(jìn)行賦值。已完成項(xiàng)目的脆弱性賦值列表。28.風(fēng)險(xiǎn)識(shí)別階段威脅識(shí)別應(yīng)參考國(guó)家或國(guó)際標(biāo)準(zhǔn)，對(duì)威脅進(jìn)行分類(lèi)；威脅分類(lèi)清單。29.應(yīng)識(shí)別所評(píng)估信息資產(chǎn)存在的潛在威脅；已完成項(xiàng)目中的威脅識(shí)別清單。30.［應(yīng)識(shí)別威脅利用脆弱性的已完成項(xiàng)目中分析威脅

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合可能性；利用脆弱性可能性的證明材料。31.應(yīng)分析威脅利用脆弱性對(duì)組織可能造成的影響。已完成項(xiàng)目中分析脆弱性發(fā)生對(duì)組織造成影響的證明材料。32.僅二級(jí)一級(jí)要求：應(yīng)識(shí)別由組織和信息系統(tǒng)中潛在的對(duì)組織和信息系統(tǒng)造成影響的威脅。已完成項(xiàng)目中對(duì)組織和信息系統(tǒng)造成的潛在威脅進(jìn)行分析的證明材料。33.僅一級(jí)要求：米用多種力法進(jìn)行威脅調(diào)查。已完成項(xiàng)目中采取多種威脅調(diào)查方法的證明材料。

自評(píng)序號(hào)估要點(diǎn)條款需提供證明材料結(jié)論證明材料清單符合不符合34.[77117/<>[~r:應(yīng)識(shí)別組織已采取的安全已完成項(xiàng)目中的已識(shí)別別已有安全措施確認(rèn)措施；的安全措施列表。35.應(yīng)評(píng)價(jià)已采取的安全措施的啟效性。已完成項(xiàng)目中分析安全措施有效性的證明材料。已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估36.風(fēng)險(xiǎn)分析階段應(yīng)構(gòu)建風(fēng)險(xiǎn)分析模型。報(bào)告中對(duì)風(fēng)險(xiǎn)分析模型的描述，并驗(yàn)證具可行風(fēng)險(xiǎn)分性、科學(xué)性。析模型應(yīng)根據(jù)風(fēng)險(xiǎn)分析模型對(duì)已已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估37.建立識(shí)別的重要資產(chǎn)的威脅、報(bào)告中，對(duì)威脅、脆弱脆弱性及安全措施進(jìn)行分性及安全措施分析的描

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合析。述。38.僅二級(jí)一級(jí)要求：構(gòu)建風(fēng)險(xiǎn)分析模型應(yīng)將資產(chǎn)、威脅、脆弱性三個(gè)基本要素及每個(gè)要素各自的屬性進(jìn)行關(guān)聯(lián)。已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估報(bào)告中對(duì)資產(chǎn)、威脅、脆弱性三個(gè)基本要素進(jìn)行關(guān)聯(lián)的證明材料。39.風(fēng)險(xiǎn)分析階段風(fēng)險(xiǎn)計(jì)算方法確定僅三級(jí)要求：應(yīng)根據(jù)分析模型確定的方法計(jì)算由風(fēng)險(xiǎn)值。已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估報(bào)告中對(duì)計(jì)算方法的描述，計(jì)算得由風(fēng)險(xiǎn)值的iiWo40.僅二級(jí)一級(jí)要求：在風(fēng)險(xiǎn)計(jì)算時(shí)，應(yīng)根據(jù)實(shí)際情況已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估報(bào)告中對(duì)評(píng)估方法、評(píng)

序號(hào)自評(píng)估要點(diǎn)條款需提供證明材料結(jié)論證明材料清單符合不符合選擇定性計(jì)算方法或定量?jī)r(jià)方法、計(jì)算方法的描計(jì)算方法。述，計(jì)算得由風(fēng)險(xiǎn)值的41.僅二級(jí)一級(jí)要求：風(fēng)險(xiǎn)評(píng)估報(bào)告中應(yīng)對(duì)本次評(píng)估建立的風(fēng)險(xiǎn)分析模型進(jìn)行說(shuō)明，并應(yīng)闡明本次評(píng)估采用的風(fēng)險(xiǎn)計(jì)算方法及風(fēng)險(xiǎn)評(píng)價(jià)方法。iiWo42.風(fēng)險(xiǎn)分析階段風(fēng)險(xiǎn)評(píng)價(jià)應(yīng)根據(jù)風(fēng)險(xiǎn)評(píng)價(jià)準(zhǔn)則確定風(fēng)險(xiǎn)等級(jí)。已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估報(bào)告中的評(píng)價(jià)準(zhǔn)則，并根據(jù)評(píng)價(jià)準(zhǔn)則確定風(fēng)險(xiǎn)等級(jí)的證明材料。

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合43.僅二級(jí)一級(jí)要求：應(yīng)對(duì)不同等級(jí)的安全風(fēng)險(xiǎn)進(jìn)行統(tǒng)計(jì)、評(píng)價(jià)，形成最終的總體安全評(píng)價(jià)。已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估報(bào)告中的安全評(píng)價(jià)內(nèi)容。44.應(yīng)向客戶(hù)提供風(fēng)險(xiǎn)評(píng)估報(bào)已完成的所申請(qǐng)資質(zhì)級(jí)告。別要求的風(fēng)險(xiǎn)評(píng)估報(bào)45.風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)評(píng)估報(bào)告報(bào)告應(yīng)包括但不限于評(píng)估過(guò)程、評(píng)估方法、評(píng)估結(jié)果、處置建議等內(nèi)容。告，報(bào)告中至少包括評(píng)估過(guò)程、評(píng)估方法、評(píng)估結(jié)果、處置建議等內(nèi)容。46.僅二級(jí)一級(jí)要求：風(fēng)險(xiǎn)評(píng)已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估估報(bào)告中應(yīng)對(duì)計(jì)算分析由報(bào)告中對(duì)風(fēng)險(xiǎn)給予詳細(xì)

序號(hào)自評(píng)估要點(diǎn)條款需提供證明材料結(jié)論證明材料清單符合不符合的風(fēng)險(xiǎn)給予比較詳細(xì)的說(shuō)明。說(shuō)明的證明材料。47.風(fēng)險(xiǎn)處置階段風(fēng)險(xiǎn)處僅二級(jí)一級(jí)要求：應(yīng)協(xié)助被評(píng)估組織確定風(fēng)險(xiǎn)處置已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估報(bào)告或建議報(bào)告中對(duì)風(fēng)險(xiǎn)處置原則及適用的范置原則原則，以及風(fēng)險(xiǎn)處置原則圍和例外情況說(shuō)明的證確定適用的范圍和例外情況。明材料。48.風(fēng)險(xiǎn)處置階段安全整改建議僅二級(jí)一級(jí)要求：對(duì)組織/、可'接受的風(fēng)險(xiǎn)提由風(fēng)險(xiǎn)處置措施。已完成項(xiàng)目的風(fēng)險(xiǎn)評(píng)估報(bào)告或建議報(bào)告中對(duì)組織/、可'接受的風(fēng)險(xiǎn)提由風(fēng)險(xiǎn)處置措施或建議的證明材料。

序號(hào)自評(píng)估要點(diǎn)條款需提供證明材料結(jié)論證明材料清單符合不符合49.風(fēng)險(xiǎn)處置階段組織評(píng)審會(huì)僅一級(jí)要求：協(xié)助被評(píng)估組織召開(kāi)評(píng)審會(huì)。服務(wù)提供者協(xié)助被評(píng)估組織組織評(píng)審會(huì)的證明材料，如會(huì)議通知、專(zhuān)家簽到表、專(zhuān)家意見(jiàn)等。50.僅一級(jí)要求：依據(jù)最終的評(píng)審意見(jiàn)進(jìn)行相應(yīng)的整改，形成最終的整改材料。已完成項(xiàng)目的專(zhuān)家評(píng)審意見(jiàn)、整改措施及其總結(jié)。51.風(fēng)險(xiǎn)處置階段僅一級(jí)要求：對(duì)組織提由完整的風(fēng)險(xiǎn)處置方案。已完成項(xiàng)目的殘余風(fēng)險(xiǎn)處置方案，方案至少包殘余風(fēng)含處置措施、工具、時(shí)

序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合險(xiǎn)處置間計(jì)劃等內(nèi)容。52.僅一級(jí)要求：必要時(shí)，對(duì)殘余風(fēng)險(xiǎn)進(jìn)行再評(píng)估。已完成項(xiàng)目中對(duì)殘余風(fēng)險(xiǎn)進(jìn)