计算机风险评价报告

计算机风险评估报告计算机风险评估报告【最新资料，【最新资料，WORDWORD 文档，可编辑修改】文档，可编辑修改】第1页共 12 页一、风险评估项目概况一、风险评估项目概况名称名称完成时间完成时间试运行时间试运行时间二、风险评估活动概述二、风险评估活动概述 2.12.1 风险评估工作组织管理风险评估工作组织管理公司本次风险评估工作成员：组长：主任：成员：工作原则：依据综合审计日志和信息安全策略准则，在风险评估过程中把最真实的数据和结果反映出来，并及时调整信息的安全保密策略，及时补充完善技术与管理措施，使计算机保持与等级要求相一致的安全保护水平。 2.22.2 风险评估工作过程风险评估工作过程此次评估阶段和具体工作内容包括第一阶段：资产识别与分析第二阶段：威胁识别与分析第三阶段：脆弱性识别与分析第四阶段：综合分析与评价第五阶段：整改意见 2.32.3 依据的技术标准及相关法规文件依据的技术标准及相关法规文件本次风险评估依据公司保密安全策略和综合审计报告等文件第2页共 12 页三、评估对象三、评估对象此次风险评估对象包括公司所有计算机，其担任的主要任务是信息的产生、传输、与最终流向。四、资产识别与分析四、资产识别与分析 4.14.1 资产类型与赋值资产类型与赋值 4.1.14.1.1 资产类型资产类型按照评估对象的构成，分类描述评估对象的资产构成。详细的资产分类与赋值，以附件形式附在评估报告后面，见附件 3《资产类型与赋值表》。 4.1.24.1.2 资产赋值资产赋值资产赋值表资产赋值表序号序号编号编号名称名称密级密级 1 1 2 2 3 3 4 4 计算机计算机计算机计算机计算机计算机中间机中间机五、威胁识别与分析五、威胁识别与分析种类软硬件故障稳定运行的影响断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、物理环境威胁洪灾、火灾、地震等环境问题和自然灾害由于应该执行而没有执行相应的操作，或无意地执行了错无作为或操作失误误的操作，对系统造成影响安全管理无法落实，不到位，造成安全管理不规范，或者管理不到位管理混乱，从而破坏信息系统正常有序运行描述由于设备硬件故障、系统本身或软件Bug 导致对业务高效第3页共 12 页具有自我复制、自我传播能力，对信息系统构成破坏的程恶意代码和病毒序代码通过采用一些措施，超越自己的权限访问了本来无权访问越权或滥用的资源；或者滥用自己的职权，做出破坏信息系统的行为物理攻击泄密篡改抵赖物理接触、物理破坏、盗窃泄漏，信息泄漏给他人非法修改信息，破坏信息的完整性不承认收到的信息和所作的操作和交易 5.15.1 威胁数据采集威胁数据采集种类软硬件故障物理环境威胁无作为或操作失误管理不到位恶意代码和病毒越权或滥用物理攻击泄密篡改抵赖威胁出现频率低很低低低低低低低低低 5.25.2 威胁赋值威胁赋值见《威胁赋值表》。六、脆弱性识别与分析六、脆弱性识别与分析按照检测对象、检测结果、脆弱性分析检测对象、检测结果、脆弱性分析分别描述以下各方面的脆弱性检测第4页共 12 页结果和结果分析。 6.16.1 常规脆弱性描述常规脆弱性描述 6.1.16.1.1 管理脆弱性管理脆弱性在计算机的管理上采用严格的管理制度和安全策略，脆弱性赋值为低。 6.1.26.1.2 系统脆弱性系统脆弱性计算机安装的是 windows xp sp3 系统，通过对其稳定性测试和漏洞扫描并及时安装漏洞补丁，脆弱性赋值为低。 6.1.36.1.3 应用脆弱性应用脆弱性计算机的应用有严格的身份鉴别和软件的安全稳定性测试，脆弱性赋值为低。 6.1.46.1.4 数据处理和存储脆弱性数据处理和存储脆弱性计算机的数据处理和存储采用自动保存和定期备份机制，确保完整性，脆弱性赋值为低。 6.1.56.1.5 运行维护脆弱性运行维护脆弱性计算机定期进行软件更新和硬件维护，脆弱性赋值为低。 6.1.76.1.7 灾备与应急响应脆弱性灾备与应急响应脆弱性根据保密安全策略的应急响应策略，定期对应急计划和响应程序进行检查和进行必要的演练，确保其始终有效。脆弱性赋值为低。 6.1.86.1.8 物理脆弱性物理脆弱性根据物理安全策略，划分了安全区域，并进行物理访问控制，进行记录在案。脆弱性赋值为低。 6.26.2 脆弱性专项检测脆弱性专项检测 6.2.16.2.1 木马病毒专项检查木马病毒专项检查根据杀毒软件的综合杀毒日志和杀毒记录，脆弱性赋值为低。 6.2.26.2.2 设备安全性专项测试设备安全性专项测试根据计算机综合审计日志进行分析，脆弱性赋值为低。第5页共 12 页 6.2.36.2.3 其他专项检测其他专项检测通过安装电磁辐射干扰仪，脆弱性赋值为低。 6.36.3 脆弱性综合列表脆弱性综合列表见《脆弱性分析赋值表》。七、综合分析与评价七、综合分析与评价根据上述风险评估结果，评定公司计算机的风险值是很低的，希望公司各涉密人员能够继续保持和遵守安全保密策略和行为准册，严格要求自己。八、整改意见八、整改意见根据评估结果提出以下几点整改意见： 1.加强计算机管理使用制度的培训。 2.对安全产品的实施要做到及时到位。 3.严格按照审批手续执行第6页共 12 页附件附件 1 1：管理措施表：管理措施表序号序号人员安全管理人员安全管理系统建设管理系统建设管理层面层面/ /方面方面安全控制安全控制/ /措施措施管理制度安全管理制度安全管理制度制定和发布评审和修订岗位设置人员配备安全管理机构安全管理机构授权和审批沟通和合作审核和检查人员录用人员离岗人员考核安全意识教育和培训外部人员访问管理系统定级安全方案设计产品采购自行软件开发外包软件开发工程实施测试验收系统交付系统备案安全服务商选择落实落实部分落实部分落实没有落实没有落实不适用不适用 √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ 第7页共 12 页序号序号层面层面/ /方面方面安全控制安全控制/ /措施措施环境管理资产管理介质管理设备管理监控管理和安全管理中心网络安全管理落实落实部分落实部分落实没有落实没有落实不适用不适用 √ √ √ √ √ √ √ √ √ √ √ √ √ 系统运维管理系统运维管理系统安全管理恶意代码防范管理密码管理变更管理备份与恢复管理安全事件处置应急预案管理小计附件附件 2 2：技术措施表：技术措施表序序号号 1 物理安全物理安全层面层面/ /方面方面安全控制安全控制/ /措施措施物理位置的选择物理访问控制防盗窃和防破坏防雷击防火防水和防潮防静电温湿度控制电力供应电磁防护落实落实 √ √ √ √ √ √ √ √ √ √ 部分落实部分落实没有落实没有落实不适用不适用第8页共 12 页数据安全及备数据安全及备份与恢复份与恢复应用安全应用安全主机安全主