《计算机风险评估报告》由会员分享，可在线阅读，更多相关《计算机风险评估报告（13页珍藏版）》请在装配图网上搜索。
1、一、风险评估项目概况名称完成时间试运行时间二、风险评估活动概述2.1 风险评估工作组织管理公司本次风险评估工作成员：组长：主任：成员：工作原则：依据综合审计日志和信息安全策略准则，在风险评估过程中把最真实的数据和结果反映出来，并及时调整信息的安全保密策略，及时补充完善技术与管理措施，使电脑保持与等级要求相一致的安全保护水平。2.2 风险评估工作过程此次评估阶段和具体工作内容包括第一阶段：资产识别与分析第二阶段：威胁识别与分析第三阶段：脆弱性识别与分析第四阶段：综合分析与评价第五阶段：整改意见2.3 依据的技术标准及相关法规文件本次风险评估依据公司保密安全策略和综合审计报告等文件三、评估对象此次
2、风险评估对象包括公司所有电脑，其担任的主要任务是信息的产生、传输、与最终流向。4.1 资产类型与赋值资产类型按照评估对象的构成，分类描述评估对象的资产构成。详细的资产分类与赋值，以附件形式附在评估报告后面，见附件 3资产类型与赋值表。资产赋值资产赋值表序号编号名称密级1电脑2电脑3电脑4中间机五、威胁识别与分析种类描述软硬件故障由于设备硬件故障、系统本身或软件Bug导致对业务高效 稳定运行的影响物理环境威胁断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境问题和自然灾害无作为或操作失误由于应该执行而没有执行相应的操作，或无意地执行了错 误的操作，对系统造成影响管理不到位安
3、全管理无法落实，不到位，造成安全管理不标准，或者 管理混乱，从而破坏信息系统正常有序运行恶意代码和病毒具有自我复制、自我传播能力，对信息系统构成破坏的程 序代码越权或滥用通过采用一些措施，超越自己的权限访问了本来无权访问 的资源；或者滥用自己的职权，做出破坏信息系统的行为物理攻击物理接触、物理破坏、盗窃泄密泄漏，信息泄漏给他人篡改非法修改信息，破坏信息的完整性抵赖不承认收到的信息和所作的操作和交易5.1 威胁数据采集种类威胁出现频率软硬件故障低物理环境威胁很低无作为或操作失误低管理不到位低5.2 威胁赋值 见威胁赋值表。六、脆弱性识别与分析 按照检测对象、检测结果、脆弱性分析分别描述以下各方面
4、的脆弱性检测 结果和结果分析。6.1 常规脆弱性描述管理脆弱性在电脑的管理上采用严格的管理制度和安全策略，脆弱性赋值为低。6.1.2 系统脆弱性电脑安装的是 windows xp sp3 系统，通过对其稳定性测试和漏洞扫描并及时安装漏洞补丁 脆弱性赋值为低。6.1.3 应用脆弱性电脑的应用有严格的身份鉴别和软件的安全稳定性测试，脆弱性赋值为低。6.1.4数据处理和存储脆弱性电脑的数据处理和存储采用自动保存和定期备份机制，确保完整性，脆弱性赋值为低。6.1.5运行维护脆弱性电脑定期进行软件更新和硬件维护，脆弱性赋值为低。灾备与应急响应脆弱性根据保密安全策略的应急响应策略，定期对应急计划和响应程序
5、进行检查和进行必要 的演练，确保其始终有效。脆弱性赋值为低。物理脆弱性根据物理安全策略，划分了安全区域，并进行物理访问控制，进行记录在案。脆弱性赋值为 低。木马病毒专项检查根据杀毒软件的综合杀毒日志和杀毒记录，脆弱性赋值为低。6.2.2 设备安全性专项测试根据电脑综合审计日志进行分析，脆弱性赋值为低。6.2.3 其他专项检测通过安装电磁辐射干扰仪，脆弱性赋值为低。6.3 脆弱性综合列表见脆弱性分析赋值表。七、综合分析与评价根据上述风险评估结果，评定公司电脑的风险值是很低的，希望公司各涉密人员能够继续保持和遵守安全保密策略和行为准册，严格要求自己。八、整改意见根据评估结果提出以下几点整改意见：电
6、脑管理使用制度的培训。2.对安全产品的实施要做到及时到位附件1：管理措施表序号层面/方面安全控制/措施落实部分落实没有落实不适用安全管理制度管理制度寸制定和发布寸评审和修订寸安全管理机构岗位设置寸人员配备寸授权和审批寸沟通和合作寸审核和检查寸人员安全管理人员录用寸人员离岗寸人员考核寸安全意识教育和培训寸夕陪枚人员访问管理寸系统建设管理系统定级寸安全方案设计寸产品米购寸自行软件开发寸序号层面/方面安全控制/措施落实部分落实没有落实不适用外包软件开发寸工程实施寸测试验收寸系统交付寸系统备案寸安全服务商选择寸系统运维管理环境管理寸资产管理寸介质管理寸设备管理寸监控管理和安全管理中心寸网络安全管理寸系
7、统安全管理寸恶意代码防范管理寸密码管理寸变更管理寸备份与恢复管理寸安全事件处置寸 L2 1 1?1A .A -rm应急预案管理寸小计附件 2：技术措施表序 号层面/方面安全控制/措施落实部分落实没有落实不适用1物理安全物理位置的选择寸物理访问控制V防盗窃和防破坏V防雷击V防火V防水和防潮V防静电V温湿度控制V电力供给V电磁防护V主机安全身份鉴别V访问控制V安全审计V剩余信息保护V入侵防范V恶意代码防范V资源控制V应用安全身份鉴别V访问控制V安全审计V剩余信息保护V通信完整性V通信保密性V抗抵赖V软件容错V资源控制V数据安全及备 份与恢复数据完整性V数据保密性V备份和恢复V附件 3：威胁赋值表资
8、 产 名 称编号总分值%操作失误滥用授权行为抵赖身份假冒口令攻击密码分析a溝利用拒绝眼翁恶意代码窃取数据物理破坏社会工程意外故障通値中新数据9损电源中新灾管理不到位越权使用Ld2LdLd2LdLd2LdLd22HELdLdLdLdLdLdLdLdLdLdLdLdLdLd2LdLd2LdLd2Ld3Ld24HELdLdLdLdLdLdLdLdLdLdLdLdLdLdLdLdLdEHE附件 4：脆弱性分析赋值表编检测项检测子项脆弱性整改建议标识1管理脆弱性检测机构、制度、人员很低加强制度培训VI安全策略低增加审计事件V2检测与响应脆弱性低无V3日常维护低无V43系统脆弱性检测操作系统脆弱性低无V55数据处理和存储脆弱性数据处理低无V6数据存储脆弱性低无V76运行维护脆弱性安全事件管理中无V87灾备与应急响应脆弱性数据备份中备份周期时间降低V9应急预案及演练低无V108物理脆弱性检测环境脆弱性低无VII设备脆弱性低无V12存储介质脆弱性低无V139木马病毒远程控制木马低无V14检测恶意插件低无V1513其他检测电磁辐射干扰仪低无V16
计算机风险评估报告
