附件:
国家电子政务工程建设项目非涉密信息系统
信息安全风险评估报告格式
项目名称:
项目建设单位:
风险评估单位:
年 月 日
目 录
一、风险评估项目概述.... 1
1.1 工程项目概况.... 1
1.1.1 建设项目基本信息... 1
1.1.2 建设单位基本信息... 1
1.1.3承建单位基本信息... 2
1.2 风险评估实施单位基本情况.... 2
二、风险评估活动概述.... 2
2.1 风险评估工作组织管理.... 2
2.2 风险评估工作过程.... 2
2.3 依据的技术标准及相关法规文件.... 2
2.4 保障与限制条件.... 3
三、评估对象.... 3
3.1 评估对象构成与定级.... 3
3.1.1 网络结构... 3
3.1.2 业务应用... 3
3.1.3 子系统构成及定级... 3
3.2 评估对象等级保护措施.... 3
3.2.1 XX子系统的等级保护措施... 3
3.2.2 子系统N的等级保护措施... 3
四、资产识别与分析.... 4
4.1 资产类型与赋值.... 4
4.1.1资产类型... 4
4.1.2资产赋值... 4
4.2 关键资产说明.... 4
五、威胁识别与分析.... 4
5.1 威胁数据采集.... 5
5.2 威胁描述与分析.... 5
5.2.1 威胁源分析... 5
5.2.2 威胁行为分析... 5
5.2.3 威胁能量分析... 5
5.3 威胁赋值.... 5
六、脆弱性识别与分析.... 5
6.1 常规脆弱性描述.... 5
6.1.1 管理脆弱性... 5
6.1.2 网络脆弱性... 5
6.1.3系统脆弱性... 5
6.1.4应用脆弱性... 5
6.1.5数据处理和存储脆弱性... 6
6.1.6运行维护脆弱性... 6
6.1.7灾备与应急响应脆弱性... 6
6.1.8物理脆弱性... 6
6.2脆弱性专项检测.... 6
6.2.1木马病毒专项检查... 6
6.2.2渗透与攻击性专项测试... 6
6.2.3关键设备安全性专项测试... 6
6.2.4设备采购和维保服务专项检测... 6
6.2.5其他专项检测... 6
6.2.6安全保护效果综合验证... 6
6.3 脆弱性综合列表.... 6
七、风险分析.... 6
7.1 关键资产的风险计算结果.... 6
7.2 关键资产的风险等级.... 7
7.2.1 风险等级列表... 7
7.2.2 风险等级统计... 7
7.2.3 基于脆弱性的风险排名... 7
7.2.4 风险结果分析... 7
八、综合分析与评价.... 7
九、整改意见.... 7
附件1:管理措施表.... 8
附件2:技术措施表.... 9
附件3:资产类型与赋值表.... 11
附件4:威胁赋值表.... 11
附件5:脆弱性分析赋值表.... 12
工程建设牵头部门
工程建设参与部门
如有多个参与部门,分别填写上
如有多个承建单位,分别填写下表。
描述本次风险评估工作的组织体系(含评估人员构成)、工作原则和采取的保密措施。
工作阶段及具体工作内容.
需要被评估单位提供的文档、工作条件和配合人员等必要条件,以及可能的限制条件。
文字描述网络构成情况、分区情况、主要功能等,提供网络拓扑图。
文字描述评估对象所承载的业务,及其重要性。
描述各子系统构成。根据安全等级保护定级备案结果,填写各子系统的安全保护等级定级情况表:
各子系统的定级情况表
按照工程项目安全域划分和保护等级的定级情况,分别描述不同保护等级保护范围内的子系统各自所采取的安全保护措施,以及等级保护的测评结果。
根据需要,以下子目录按照子系统重复。
根据等级测评结果,XX子系统的等级保护管理措施情况见附表一。
根据等级测评结果,XX子系统的等级保护技术措施情况见附表二。
按照评估对象的构成,分类描述评估对象的资产构成。详细的资产分类与赋值,以附件形式附在评估报告后面,见附件3《资产类型与赋值表》。
填写《资产赋值表》。
资产赋值表
在分析被评估系统的资产基础上,列出对评估单位十分重要的资产,作为风险评估的重点对象,并以清单形式列出如下:
关键资产列表
对威胁来源(内部/外部;主观/不可抗力等)、威胁方式、发生的可能性,威胁主体的能力水平等进行列表分析。
依据《威胁赋值表》,对资产进行威胁源和威胁行为分析。
填写《威胁源分析表》。
填写《威胁行为分析表》。
填写《威胁赋值表》。
按照检测对象、检测结果、脆弱性分析分别描述以下各方面的脆弱性检测结果和结果分析。
包括:电磁辐射、卫星通信、光缆通信等。
填写《脆弱性分析赋值表》。
填写《风险列表》
风险列表
填写《风险等级表》
资产风险等级表
资产风险等级统计表
基于脆弱性的风险排名表
附件1:管理措施表
附件2:技术措施表
附件3:资产类型与赋值表
针对每一个系统或子系统,单独建表
附件4:威胁赋值表
附件5:脆弱性分析赋值表
单位信息安全评估报告管理信息系统单位二零一一年九月11目标单位信息安全检查工作的主要目标是通过自评估工作发现本局信息系统当前面临的…
信息安全风险评估检查报告1本表所称高风险漏洞是指计算机硬件软件或信息系统中存在的严重安全缺陷利用这些缺陷可完全控制或部分控制计算机…
信息系统信息安全风险评估报告格式目录一风险评估项目概述11工程项目概况111建设项目基本信息112建设单位基本信息113承建单位基…
本企业安全风险评估报告一评估目的为保障全处生产经营任务的正常进行根据国家有关法律法规和企业的有关规定我处组织了对全处危险作业环境和…
附件国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式项目名称项目建设单位风险评估单位年月日目录一风险评估项目概述11…
合同编号项目名称项目地址委托方甲方受托方乙方签订时间签订地点技术咨询合同xxxxxx环境风险评估报告xxxxxxxxxxxxxxx…
信息系统信息安全风险评估报告格式目录一风险评估项目概述11工程项目概况111建设项目基本信息112建设单位基本信息113承建单位基…
风险评估报告1山东博兴胜利科技有限公司提盐车间20xx年2月1目的2为了规范车间风险管理识别和评价作业过程中危险有害因素消除和减少…
胜达集团信息安全评估报告管理信息系统胜达集团二零一六年一月1目标胜达集团信息安全检查工作的主要目标是通过自评估工作发现本局信息系统…
XX县信用联社关于对信息科技风险自评估工作的汇报X联社XX办事处按照办事处转发银监会办公厅关于落实银行业金融机构信息科技风险评价审…
本企业安全风险评估报告一评估目的为保障全处生产经营任务的正常进行根据国家有关法律法规和企业的有关规定我处组织了对全处危险作业环境和…