信息安全風(fēng)險(xiǎn)評(píng)估報(bào)告和風(fēng)險(xiǎn)處理計(jì)劃

XX有限公司版本文件編號(hào)生效日期A0XXXXPAGE2信息安全風(fēng)險(xiǎn)評(píng)估報(bào)告和風(fēng)險(xiǎn)處理計(jì)劃版本更改類型生效日期更改內(nèi)容會(huì)簽部門：品質(zhì)：工程：采購(gòu)：業(yè)務(wù)：研發(fā)：IT：生產(chǎn)：PMC：行政：財(cái)務(wù)：制作：審核：批準(zhǔn)：一、實(shí)施范圍和時(shí)間本公司信息安全管理體系所涉及的相關(guān)部門以及相關(guān)業(yè)務(wù)活動(dòng)。本此風(fēng)險(xiǎn)評(píng)估的實(shí)施時(shí)間為XXXX年XX月XX日至XXXX年XX月XX日。二、風(fēng)險(xiǎn)評(píng)估方法參照ISO/IEC27001和ISO/IEC27002標(biāo)準(zhǔn)，以及《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》(GB/T20984-2007)等，依據(jù)公司的《信息安全風(fēng)險(xiǎn)評(píng)估管理程序》(版本號(hào)：)確定的評(píng)估方法。三、風(fēng)險(xiǎn)評(píng)估工作組經(jīng)信息安全領(lǐng)導(dǎo)辦公室(或委員會(huì))批準(zhǔn)，此次風(fēng)險(xiǎn)評(píng)估工作成員如下：評(píng)估工作組組長(zhǎng)：XXX評(píng)估工作組成員：XXXX、XXXX……四、風(fēng)險(xiǎn)評(píng)估結(jié)果4.1 信息資產(chǎn)清單各部門的信息資產(chǎn)清單見(jiàn)部門信息資產(chǎn)清單。4.2重要資產(chǎn)面臨威脅和脆弱性匯總重要資面臨的威脅和脆弱性分別見(jiàn)附件一和附件二。4.3風(fēng)險(xiǎn)結(jié)果統(tǒng)計(jì)本次風(fēng)險(xiǎn)評(píng)估，共識(shí)別出信息安全風(fēng)險(xiǎn)XX個(gè)，不可接受的風(fēng)險(xiǎn)XX個(gè)，具體如下：風(fēng)險(xiǎn)等級(jí)種類個(gè)數(shù)說(shuō)明很高不可接受風(fēng)險(xiǎn)高中等低可接受風(fēng)險(xiǎn)很低五、風(fēng)險(xiǎn)處理計(jì)劃風(fēng)險(xiǎn)處理計(jì)劃見(jiàn)附件三六、附件：附件一：重要資產(chǎn)面臨的威脅匯總表表1-1：重要硬件資產(chǎn)威脅識(shí)別表重要資產(chǎn)威脅識(shí)別表－－硬件資產(chǎn)資產(chǎn)名稱資產(chǎn)描述威脅類部門臺(tái)式機(jī)網(wǎng)關(guān)/SVN服務(wù)器Bugzilla/FTP/Web服務(wù)器Trac服務(wù)器操作失誤濫用權(quán)限系統(tǒng)漏洞攻擊設(shè)備硬件故障社會(huì)工程威脅維護(hù)錯(cuò)誤未授權(quán)訪問(wèn)系統(tǒng)資源物理訪問(wèn)失控電磁干擾系統(tǒng)負(fù)載過(guò)載機(jī)架式服務(wù)器Mail服務(wù)器操作失誤濫用權(quán)限系統(tǒng)漏洞攻擊設(shè)備硬件故障社會(huì)工程威脅維護(hù)錯(cuò)誤未授權(quán)訪問(wèn)系統(tǒng)資源物理訪問(wèn)失控電磁干擾系統(tǒng)負(fù)載過(guò)載筆記本電腦木馬后門攻擊設(shè)備硬件故障網(wǎng)絡(luò)病毒傳播未授權(quán)訪問(wèn)系統(tǒng)資源社會(huì)工程威脅臺(tái)式機(jī)木馬后門攻擊設(shè)備硬件故障網(wǎng)絡(luò)病毒傳播未授權(quán)訪問(wèn)系統(tǒng)資源社會(huì)工程威脅表1-2重要應(yīng)用系統(tǒng)資產(chǎn)威脅識(shí)別表重要資產(chǎn)威脅識(shí)別表－－應(yīng)用系統(tǒng)序號(hào)資產(chǎn)名稱威脅類部門1SVN業(yè)務(wù)系統(tǒng)篡改用戶或業(yè)務(wù)數(shù)據(jù)信息控制和破壞用戶或業(yè)務(wù)數(shù)據(jù)濫用權(quán)限泄漏秘密信息數(shù)據(jù)篡改探測(cè)竊密未授權(quán)訪問(wèn)未授權(quán)訪問(wèn)系統(tǒng)資源用戶或業(yè)務(wù)數(shù)據(jù)的竊取2Iptables防火墻系統(tǒng)操作失誤訪問(wèn)控制策略管理不當(dāng)維護(hù)錯(cuò)誤未授權(quán)訪問(wèn)資源原發(fā)抵賴表1-3重要文檔和數(shù)據(jù)資產(chǎn)威脅識(shí)別表重要資產(chǎn)威脅識(shí)別表－－文檔和數(shù)據(jù)序號(hào)資產(chǎn)名稱威脅類部門1DVB-J項(xiàng)目開(kāi)發(fā)資料濫用權(quán)限開(kāi)發(fā)部未授權(quán)訪問(wèn)資源2DVB-J項(xiàng)目開(kāi)發(fā)文件濫用權(quán)限開(kāi)發(fā)部未授權(quán)訪問(wèn)資源3總務(wù)相關(guān)資料濫用權(quán)限總務(wù)部未授權(quán)訪問(wèn)資源表1-4重要人力資源資產(chǎn)威脅識(shí)別表重要資產(chǎn)威脅識(shí)別表－－人力資源序號(hào)資產(chǎn)名稱威脅類部門1機(jī)房管理員社會(huì)工程威脅2服務(wù)器管理員社會(huì)工程威脅3社會(huì)工程威脅附件二：重要資產(chǎn)面臨的脆弱性匯總表表2-1重要資產(chǎn)脆弱性匯總表序號(hào)資產(chǎn)名稱脆弱性名稱1臺(tái)式機(jī)（Bugzilla/FTP/Web服務(wù)器）臺(tái)式機(jī)（網(wǎng)關(guān)/SVN服務(wù)器）臺(tái)式機(jī)（Trac服務(wù)器）安裝與維護(hù)缺乏管理操作系統(tǒng)補(bǔ)丁未及時(shí)安裝操作系統(tǒng)存在弱口令操作系統(tǒng)的口令策略沒(méi)有啟用操作系統(tǒng)的帳戶鎖定策略沒(méi)有啟用操作系統(tǒng)開(kāi)放多余服務(wù)缺少電磁防護(hù)物理訪問(wèn)控制欠缺設(shè)備性能不足2機(jī)架式服務(wù)器（Mail服務(wù)器）安裝與維護(hù)缺乏管理操作系統(tǒng)補(bǔ)丁未及時(shí)安裝操作系統(tǒng)存在弱口令操作系統(tǒng)的口令策略沒(méi)有啟用操作系統(tǒng)的帳戶鎖定策略沒(méi)有啟用操作系統(tǒng)開(kāi)放多余服務(wù)缺少電磁防護(hù)物理訪問(wèn)控制欠缺3筆記本電腦筆記本電腦操作系統(tǒng)補(bǔ)丁未安裝操作系統(tǒng)開(kāi)放多余服務(wù)操作系統(tǒng)存在弱口令操作系統(tǒng)的口令策略沒(méi)有啟用病毒碼無(wú)法自動(dòng)更新操作系統(tǒng)的帳戶鎖定策略沒(méi)有啟用4臺(tái)式機(jī)操作系統(tǒng)補(bǔ)丁未安裝病毒碼無(wú)法自動(dòng)更新操作系統(tǒng)開(kāi)放多余服務(wù)5SVN業(yè)務(wù)系統(tǒng)未設(shè)置用戶登錄失敗門限與超過(guò)門限后的處理措施無(wú)法保證用戶使用的口令達(dá)到一定的質(zhì)量要求無(wú)法檢測(cè)存儲(chǔ)的重要信息、數(shù)據(jù)是否出現(xiàn)完整性錯(cuò)誤重要信息、數(shù)據(jù)無(wú)加密措施，以明文傳輸6Iptables防火墻系統(tǒng)安全保障設(shè)備的其它配置不當(dāng)安裝與維護(hù)缺乏管理缺少操作規(guī)程和職責(zé)管理未啟用日志功能7DVB-J項(xiàng)目開(kāi)發(fā)資料沒(méi)有訪問(wèn)控制策略或未實(shí)施信息資產(chǎn)沒(méi)有清晰的分類標(biāo)志8DVB-J項(xiàng)目開(kāi)發(fā)文件沒(méi)有訪問(wèn)控制策略或未實(shí)施信息資產(chǎn)沒(méi)有清晰的分類標(biāo)志9總務(wù)相關(guān)資料沒(méi)有訪問(wèn)控制策略或未實(shí)施信息資產(chǎn)沒(méi)有清晰的分類標(biāo)志10機(jī)房管理員沒(méi)有適當(dāng)?shù)莫?jiǎng)懲規(guī)則沒(méi)有正式的保密協(xié)議11服務(wù)器管理員沒(méi)有適當(dāng)?shù)莫?jiǎng)懲規(guī)則沒(méi)有正式的保密協(xié)議12總務(wù)經(jīng)理沒(méi)有適當(dāng)?shù)莫?jiǎng)懲規(guī)則沒(méi)有正式的保密協(xié)議附件三：風(fēng)險(xiǎn)處理計(jì)劃根據(jù)本次風(fēng)險(xiǎn)評(píng)估結(jié)果，對(duì)不可接受的風(fēng)險(xiǎn)進(jìn)行處理。在選取控制措施和方法時(shí)，結(jié)合公司的財(cái)力、物力和資產(chǎn)的重要度等各種因素，制定如下風(fēng)險(xiǎn)處理計(jì)劃。該計(jì)劃已經(jīng)信息安全領(lǐng)導(dǎo)辦公室審核批準(zhǔn)。風(fēng)險(xiǎn)處理計(jì)劃序號(hào)資產(chǎn)名稱風(fēng)險(xiǎn)風(fēng)險(xiǎn)處理選項(xiàng)風(fēng)險(xiǎn)處理措施責(zé)任人計(jì)劃完成時(shí)間1臺(tái)式機(jī)（網(wǎng)關(guān)/SVN服務(wù)器）臺(tái)式機(jī)（Bugzilla/FTP/Web服務(wù)器）機(jī)架式服務(wù)器（Mail服務(wù)器）操作系統(tǒng)補(bǔ)丁未及時(shí)安裝降低實(shí)施定期升級(jí)補(bǔ)丁物理訪問(wèn)控制欠缺安裝機(jī)房門禁