信息安全风险评价服务资质认证自评价表
风险评估概念及其基本要素
一、风险评估概念及其基本要素信息系统的安全风险，是由来自人为的与自然的威胁利用系统存在的脆弱性造成的安全事件发生的可能性及其可能造成的影响。
信息安全风险评估（本文以下简称“风险评估”），则是指依据国家有关信息技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评估的活动过程，它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。
信息安全是一个动态的复杂过程，它贯穿于信息资产和信息系统的整个生命周期。
信息安全的威胁来自于内部破坏、外部攻击、内外勾结进行的破坏以及自然危害。
必须按照风险管理的思想，对可能的威胁、脆弱性和需要保护的信息资源进行分析，依据风险评估的结果为信息系统选择适当的安全措施，妥善应对可能发生的风险。
信息安全风险评估要关注如下基本要素：使命：一个单位通过信息化要来实现的工作任务。
依赖度：一个单位的使命对信息系统和信息的依靠程度。
资产：通过信息化建设积累起来的信息系统、信息、生产或服务能力、人员能力和赢得的信誉等。
价值：资产的重要程度和敏感程度。
威胁：一个单位的信息资产的安全可能受到的侵害。
威胁由多种属性来刻画：威胁的主体（威胁源）、能力、资源、动机、途径、可能性和后果。
脆弱性：信息资产及其防护措施在安全方面的不足和弱点。
脆弱性也常常被称为弱点或漏洞。
风险：风险由意外事件发生的可能性及发生后可能产生的影响两种指标来衡量。
风险是在考虑事件发生的可能性及其可能造成的影响下，脆弱性被威胁所利用后所产生的实际负面影响。
风险是可能性和影响的函数，前者指威胁源利用一个潜在脆弱性的可能性，后者指不利事件对组织机构产生的影响。
残余风险：采取了安全防护措施，提高了防护能力后，仍然可能存在的风险。
安全需求：为保证单位的使命能够正常行使，在信息安全防护措施方面提出的要求。
安全评价过程控制文件(模板)
编号:项目名称：_________________________________委托单位：_________________________________过程控制文件（模板）安全评价有限公司安全评价项目风险分析记录单合同评审会签表编号：_____ B02-R02项目移交单填写要求项目移交单由市场人员填写，主要内容包含项目名称、业主负责人、职务、联系方式、移交的资料名称、合同方式、委托时间、合同时间、合同期限、重要合同条款、付款方式等信息。
是项目由市场签约到技术履约的依据，由市场签约人员和项目负责人签字确认。
安全评价项目交接单项目评价组任命书填写要求根据项目资料内容确定项目情况、工程特点，考虑各评价人员的能力、专业、特长，由部门负责人确定项目组长，组建项目的安评小组，确定项目组成员和技术专家，开展该项目工作。
任命决定中应填写完整的项目名称、组长和组员姓名，并由部门主管签字，小组成员和技术专家应填写姓名和每个人所属专业，人员的专业内容应覆盖项目评价需要的各个专业，在分工栏目中填写每个成员和专家在项目履约中的工作要求。
安全评价项目组成员名单项目实施方案策划书填写要求在项目组成员名单确定后，由项目组成员和技术专家一起研讨确定该项目的评价方案，方案应包含确定的评价体系的框架结构，主要由概述、工程概况、危险、有害因素分析、定性、定量评价、对策措施和结论等部分的简要说明组成。
策划书确定后应由项目组长和部门负责人签字确认。
安全评价实施方案策划书安全评价项目工作计划书现场勘察要求为了提高评价报告质量，认真贯彻执行国家安监总局有关安全评价报告编制要求，必须对评价项目进行现场勘察。
在预评价项目收集资料过程中，必须派人员进行现场勘察，并写出现场勘察报告，要求对项目厂址、灰场、周边情况等进行拍照。
留取影像资料。
在验收评价项目收集资料过程中，必须派人员进行现场勘察，并写出现场勘察报告，同时要求对生产现场、氢站、油库区、灰场、煤场、大坝等重要区域和设施进行拍照。
信息系统安全服务资质测评认证指南-中国信息安全测评中心[002]
![信息系统安全服务资质测评认证指南-中国信息安全测评中心[002]](https://img.taocdn.com/s3/m/f11bb3144b35eefdc8d333fe.png)
国家信息安全测评信息安全服务资质申请指南（云计算安全类一级）（试行）©版权2017—中国信息安全测评中心2017年9月1日目录目录2引言3一、认定依据 (4)二、级别划分 (4)三、一级资质要求 (4)3.1 基本资格要求 (5)3.2 基本能力要求 (5)3.2.1 组织与管理要求 (5)3.2.2 技术能力要求 (5)3.2.3 人员构成与素质要求 (6)3.2.4 设备、设施与环境要求 (6)3.2.5 规模与资产要求 (6)3.2.6 业绩要求 (6)3.3 云计算安全服务过程能力要求 (7)3.4 项目和组织过程能力要求 (9)四、资质认定 (11)4.1认定流程图 (11)4.2申请阶段 (12)4.3资格审查阶段 (12)4.4能力测评阶段 (12)4.4.1静态评估 (12)4.4.2现场审核 (13)4.4.3综合评定 (13)4.4.4资质审定 (13)4.5证书发放阶段 (13)五、监督、维持和升级 (14)六、处置 (14)七、争议、投诉与申诉 (14)八、获证组织档案 (15)九、费用及周期 (15)十、联系方式 (16)引言中国信息安全测评中心是经中央批准成立的国家信息安全权威测评机构，职能是开展信息安全漏洞分析和风险评估工作，对信息技术产品、信息系统和工程的安全性进行测试与评估。
对信息安全服务和人员的资质进行审核与评价。
中国信息安全测评中心的主要职能是：1.为信息技术安全性提供测评服务；2.信息安全漏洞分析；3.信息安全风险评估；4.信息技术产品、信息系统和工程安全测试与评估；5.信息安全服务和信息安全人员资质测评；6.信息安全技术咨询、工程监理与开发服务。
“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。
为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。
信息安全风险评估服务资质认证
信息安全风险评估服务资质认证
信息安全风险评估服务资质认证是指对企业或机构的信息系统、网络设施和数据进行全面评估，分析存在的安全风险，并提供相应的解决方案和安全策略建议。
该服务的资质认证主要包括以下几个方面：
1. 专业团队：拥有一支专业的信息安全风险评估团队，团队成员应具备较高的教育背景和资质，并且有相关领域的实际经验。
成员需要通过相关的认证考试，如CISSP、CISA等，证明其
掌握了必要的知识和技能。
2. 丰富经验：具备丰富的信息安全风险评估项目经验，能够独立完成各种规模和类型的评估任务。
在服务过程中，能够针对不同的行业和业务需求，提供定制化的评估方案，并根据具体情况调整评估方法和流程。
3. 先进工具：具备使用先进的信息安全评估工具和设备的能力，能够对企业的信息系统进行全面扫描和检测。
同时，还需要能够分析评估结果，确定潜在的安全风险，为客户提供详细的评估报告和建议。
4. 合规能力：了解国内外信息安全的法律、法规和标准，能够确保评估服务的合法性和合规性。
同时，还需要了解各大行业的信息安全标准和最佳实践，能够为客户提供符合其所在行业的安全解决方案。
5. 客户口碑：具备良好的客户口碑和信誉，能够为客户提供专
业、高效和贴合实际的服务，得到客户的一致好评和认可。
同时，还需要具备良好的沟通和解释能力，能够与客户有效地进行沟通，确保评估结果和建议得到正确理解和实施。
综上所述，信息安全风险评估服务资质认证需要具备专业团队、丰富经验、先进工具、合规能力和良好口碑等要素。
只有具备这些要素的企业或机构才能够获得相关认证，提供高质量的信息安全评估服务。
IATF6949之过程风险和机遇与应对评估分析表例子
综合管理部
2019年1月已经完成
有效
采购信息不充分，导致采购的产品不满足要求
5
3
15
一般风险
1、落实采购信息充分性、有效性的确认
2、在采购合同、供应商质量协议中明确相应的要求
综合管理部
2019年1月已经完成
有效
13
SP2
产品和服务的检验及验证、监视和测量资源过程
检验员未掌握必要的技能，导致检验结果可靠性不高
有效
对保修产品重视不够，没有明确的保修件分析方法，导致保修品管理效果不佳
3
3
9
一般风险
建立《产品保修管理过程》，落实保修品的刮泥。
对每一个保修品，在接收保修品前进行分析时，必须由多功能小组形成保修品分析方法。
品技部（多功能小组）
2019年1月起
有效
12
SP1
外部供方管理及采购过程
供方管理人员能力不足，导致供方管理问题，出现批量问题
业务部
2019年1月
有效
2
COP2
产品/过程设计和开发过程
人员流失，人员失误导致项目不成功
5
3
15
一般风险
1、除设定项目经理外，还必须设定多功能小组组长，确保依据多功能小组的方式进行设计和开发
2、识别出开发设计过程所需的技能和工具，将设计与开发人员列为特殊岗位，确保人员能力满足要求，在设计开发过程需要策划输入
XXXX有限公司
风险和机遇与应对评估分析表
类别：□经营环境□质量□环境■过程
序号
风险和机遇来源
（内部/外部）
风险和机遇内容
风险分析
管理措施
责任部门/人
实施时间
ccrc信息安全风险评估服务资质认证证书模板
ccrc信息安全风险评估服务资质认证证书模板文章《深度探讨CCRC信息安全风险评估服务资质认证证书模板》一、引言在当今信息化的社会，信息安全风险评估已经成为了企业、组织及个人必须面对的重要问题。
尤其对于涉及大量用户信息的CCRC（云计算资源中心）来说，信息安全风险评估更是至关重要的一环。
在这样的背景下，CCRC信息安全风险评估服务资质认证证书模板应运而生。
这一模板的推出，为CCRC的信息安全风险评估提供了一种标准化和规范化的方法，有助于提高CCRC的信息安全水平，降低信息安全风险。
二、CCRC信息安全风险评估服务资质认证证书模板概述1. 模板的设计理念CCRC信息安全风险评估服务资质认证证书模板的设计理念是通过明确的标准和规范，对CCRC的信息安全风险进行客观、全面的评估，从而提供专业的服务认证证书。
这样的模板不仅有助于CCRC自我评估和改进，还能够给用户和监管机构提供信心，确保其信息安全风险得到有效管控。
2. 模板的具体内容CCRC信息安全风险评估服务资质认证证书模板通常包括以下内容：CCRC的基本信息、信息安全管理制度、信息安全风险评估流程、信息安全风险评估结果、信息安全改进措施、认证机构意见等。
这些内容的明确定义和规范化有助于评估者更加客观、全面地评估CCRC的信息安全风险，同时也方便认证机构对CCRC的信息安全水平进行认证和监督。
三、CCRC信息安全风险评估服务资质认证证书模板的意义CCRC信息安全风险评估服务资质认证证书模板的意义主要体现在以下几个方面：- 标准化和规范化这一模板的推出有助于统一CCRC信息安全风险评估的标准和方法，使得不同的评估者和认证机构可以按照相同的标准进行评估和认证，提高评估和认证的公正性和客观性。
- 改进信息安全水平通过持续地使用和改进这一模板，CCRC可以更加系统地了解自身的信息安全风险，采取有针对性的措施来改进信息安全水平，确保用户数据的安全和隐私。
- 提升用户信心CCRC获得了符合CCRC信息安全风险评估服务资质认证证书模板的认证，能够向用户和监管机构展示其信息安全水平得到了第三方权威机构的认可，提升了用户对CCRC的信心，有助于吸引更多的用户和合作伙伴。
风险和机遇识别评价表(汇总)
5
3
2
30
ห้องสมุดไป่ตู้
高风险
1.公司配备好相应的防护用具； 2.按要求管理相关人员佩戴好相应的防护用具。
防护措施
生产部、品质部 、物控部
有效
5
环境因素 识别评价
内部
1.环境因素的识别 1.环境因素未进行识别或识别不全面导致造成环
2.重要环境因素管 境影响；
4
理
2.未对重要环境因素进行管理，造成环境影响。
2
1
8
低风险
3
2
2
12
低风险
3.输出项目需要执行“谁去做？”、“怎么做？”“什么时 候完成？”，以确保管理评审的输出得到有效落实。
管理评审输入、 总经理
输出
部门
各 《管理评审控制程序》
4.每年的管理评审务必评审上年度输出的执行情况。
相关文件：1.《管理评审控制程序》
化学品的存储
2.化学品无防泄露装置措施，化学品泄露污染环
4
2
2 16 一般风险 主要职能部门按照要求加强法律法规的收集评价
7
环境因素 识别评价
内部
1.环境因素的识别 1.环境因素未进行识别或识别不全面导致造成环
2.重要环境因素管 境影响；
3
理
2.未对重要环境因素进行管理，造成环境影响。
1
2
6
低风险
对环境因素进行识别评价； 制定重要环境因素管理方案。
行业标准
1.审核人员环境体系不熟悉，导致审核浮于表 面； 2.审核发现的不符合项目未能及时改善和跟进，
3
2
1.对内审员实施培训，经考核合格后获取内审证书。安排内
2
信息安全风险评估服务资质认证
信息安全风险评估服务资质认证信息安全风险评估服务是指对企业、组织等的信息系统和信息资源进行安全风险评估，发现可能存在的安全风险和漏洞，并提供相应的解决方案和改进建议的服务。
由于信息安全风险评估对相关信息的保护具有重要意义，因此需要资质认证来确保评估服务的质量和可靠性。
首先，信息安全风险评估服务需要具备相关的技术能力和专业知识。
评估人员需要具备扎实的计算机技术背景和信息安全知识，熟悉各类攻击技术和常见的安全漏洞，能够准确地发现风险和漏洞，以及给出相应的解决方案。
因此，资质认证需要对评估人员进行技术能力和专业知识的考核，确保其具备足够的能力来进行信息安全风险评估服务。
其次，信息安全风险评估服务需要在法律和道德规范的框架下进行。
因为在评估过程中可能会获取到企业或组织的敏感信息，如个人身份信息、商业秘密等，因此需要评估服务提供商具备相关的法律法规和道德规范意识，并遵守相关的信息安全和隐私保护法律法规。
资质认证需要对服务提供商的合规性进行检查，确保其合法合规地开展评估服务。
最后，信息安全风险评估服务需要具备可信赖的服务能力和信用度。
评估服务提供商应该有一定的行业声誉和丰富的服务经验，能够提供有效和可信的评估结果。
此外，评估报告的准确性和可靠性也是评估服务的重要标准之一。
资质认证需要评估服务提供商的服务能力和信誉度，确保其具备对企业或组织的信息安全风险进行全面、准确评估的能力。
综上所述，信息安全风险评估服务资质认证是保证评估服务质量和可靠性的重要手段。
通过对评估人员的技术能力和专业知识的考核、对服务提供商的合规性的检查以及对服务能力和信誉度的评估，可以确保评估服务具备足够的能力和可信度，为企业和组织提供有效的信息安全风险评估服务。
10信息安全服务资质评估准则
10信息安全服务资质评估准则信息安全服务资质评估准则是指对信息安全服务机构进行评估和认证的标准和规范，包括机构组织结构、管理体系、技术能力和服务质量等方面的要求，以确保其能够提供合格、可信赖的信息安全服务。
下面我将详细介绍10个信息安全服务资质评估准则。
1.机构组织结构：评估机构的组织结构是否合理、清晰，是否有明确的职责划分和权责制约，是否存在内部控制和监督机制。
3.人员素质和组织文化：评估机构的员工是否具备相关的专业知识和技能，是否接受过系统的培训和教育，是否具备持续学习的能力，以及机构的组织文化是否有助于信息安全服务的提供。
4.技术能力：评估机构的技术能力是否达到了一定的水平，是否具备信息安全服务所需的硬件、软件和网络设备，以及是否具备应对各种信息安全威胁和风险的能力。
5.服务质量：评估机构的服务质量是否达到了一定的水平，是否能够根据客户的需求提供个性化的信息安全服务，是否能够及时、准确地识别和评估信息安全风险，并提供相应的风险管理和控制措施。
6.保密能力：评估机构是否具备保密能力，包括对客户的信息和数据进行保密，对安全事件和问题进行保密，以及对安全产品和技术进行保密。
7.可靠性和稳定性：评估机构的服务是否具备可靠性和稳定性，是否能够保证信息安全服务的连续性和可用性，是否能够及时、准确地响应客户的需求和问题。
8.遵循法律法规：评估机构是否遵循相关的法律法规和行业规范，是否具备合法的经营资质和许可证件，是否能够有效地预防和应对信息安全违法行为。
9.服务费用合理性：评估机构的服务费用是否合理，是否与提供的服务内容和质量相匹配，是否具备明确的计价和收费标准，以及是否能够提供透明和公正的计费和结算机制。
10.客户满意度：评估机构的客户满意度如何，通过收集和分析客户的反馈和评价，评估机构的服务是否能够满足客户的需求和期望，是否具备良好的口碑和信誉。
以上是10个信息安全服务资质评估准则，用于评估和认证信息安全服务机构的能力和信誉。
信息安全风险评估服务资质认证自评估表
应对脆弱性进行赋值。
已完成项目的脆弱性赋值列表。
28.
风险识别阶段-威胁识别
应参考国家或国际标准，对威胁进行分类；
威胁分类清单。
29.
应识别所评估信息资产存在的潜在威胁；
已完成项目中的威胁识别清单。
30.
应识别威胁利用脆弱性的可能性；
已完成项目中分析威胁利用脆弱性可能性的证明材料。
31.
应分析威胁利用脆弱性对组织可能造成的影响。
已完成项目的风险评估报告或建议报告中对组织不可接受的风险提出风险处置措施或建议的证明材料。
49.
风险处置阶段-组织评审会
仅一级要求：协助被评估组织召开评审会。
服务提供者协助被评估组织组织评审会的证明材料，如会议通知、专家签到表、专家意见等。
50.
仅一级要求：依据最终的评审意见进行相应的整改，形成最终的整改材料。
25.
仅一级要求：识别处理数据和提供服务所需的关键系统单元和关键系统组件。
已完成项目中对处理数据和提供服务所需的关键系统单元和关键系统组件的识别分析证明材料。
26.
风险识别阶段-脆弱性识别
应对已识别资产的安全管理或技术脆弱性利用适当的工具进行核查，并形成安全管理或技术脆弱性列表。
已完成项目中对脆弱性识别时使用的工具列表、管理或技术脆弱性列表。
15.
应根据评估的需求准备必要的工具。
已完成项目的风险评估方案中对评估工具的介绍，工具列表及主要功能描述。
16.
应对评估团队实施风险评估前进行安全教育和技术培训。
项目实施前的安全教育及技术培训的证明材料，如启动会的PPT，PPT中包含培训的内容，以及其他可证明对其安全教育、技术方面培训的材料。
17.
三体系认证全部资料表格(很全实用)
受控文件清单MZFL /JL－03MZFL /JL－02MZFL /JL－01文件更改申请单MZFL /JL－04一式两份,一份申请部门留存,一份报审核部门.文件销毁申请单MZFL /JL－05记录清单MZFL /JL－06填表人: 年月日管理评审计划MZFL /JL－07审核(管理者代表): 批准:管理评审记录MZFL /JL－08管理评审报告MZFL /JL－09审核(管理者代表): 批准:-!年度培训计划MZFL /JL－10编制; 日期：审核: 日期：批准: 日期：培训记录表MZFL /JL－11设备台帐MZFL /JL－12设备维修记录表车间：MZFL /JL－13设施报废单MZFL /JL－14合同要求评审表MZFL /JL－15批准: 年月日定单确认表MZFL /JL－16合同登记台帐MZFL /JL－18供方评定记录表MZFL /JL－19合格供方名录MZFL /JL－20编制：日期: 批准：日期:采购计划MZFL /JL－21编制：日期: 批准：日期:生产计划MZFL /JL－23编制：日期: 批准：日期:监视测量设备台帐MZFL /JL－26编制: 日期:监视测量设备周期检定记录表MZFL /JL－27编制: 日期:顾客满意度调查表MZFL /JL－28填表人: 年月日年度内审计划MZFL /JL－29审核实施计划MZFL /JL－30内审检查表单位：MZFL /JL－31不符合报告MZFL /JL－32内审不符合项分布表MZFL /JL－33内审报告MZFL /JL－34内审首（末）次会议签到表时间：MZFL /JL－35进货物资验证单年月日MZFL /JL－36编号：2、g项（验证结果）应填写“合格”或“不合格”，其余各项合格者划符号√，否则×。
3、企业能出具检测结果者，验证d.、e、f项合格，则g项填合格，否填不合格。
4、如供方（或委托方）提供a、b、c项之一者，并经企业验证d、f项通过，即视为合格。
信息系统安全运维服务资质认证自评价表
实施健康检查服务：完成安全设备、业务系统的健康检查服务。
安全设备、业务系统的健康检查服务记录，主要关注可靠性、可用性、持续性等。
33.
仅二级/一级要求：收集与建立配置管理数据库，确保配置项目的机密性、完整性、可用性（专职管理）。
配置数据库，应能初步收集资产与配置项，并确保配置项目的机密性、完整性、可用性（专职管理），如安全设备的配置项有安全策略、管理员账户、IP等。
服务级别协议中，安全运维第三方之间的服务级别设计与内部团队之间的安全运营级别协议应一致。
10.
仅一级要求：安全组织中要设定安全领导小组。
安全组织架构图，其中应有安全领导小组。
11.
准备阶段—签订服务协议
与客户签订服务协议，明确范围、目标、时间、内容、金额、质量和输出等。
项目合同及保密协议，合同内容应至少包含服务范围、目标、时间、内容、金额、质量和输出等。
信息系统安全运维服务资质认证自评估表
组织名称
申报级别
评估时间
评估部门/人员
序号
要点
条款
需提供证明材料
自评估结论
证明材料清单
符合
不符合
1.
服务技术要求
建立信息系统安全运维服务流程。
信息系统安全运维服务流程，流程图中应包括每个阶段对应的职责、输入输出等。
2.
制定信息系统安全运维服务规范并按照规范实施。
信息系统安全运维服务规范并按照规范实施。
仅一级要求：编制安全运维项目作业指导书。
安全运维作业指导书，例如：配置核查操作手册、常见安全事件处理指南等。
23.
仅一级要求：建立应急响应和灾难恢复机制，形成业务连续性计划。
发布且通过审批的业务连续性计划。
互联网信息服务算法安全自评估报告模板(算法产品提交复审材料之一)
互联网信息服务算法安全自评估报告（生成合成类-服务提供者）填报说明1、模板中“【】”内的内容为替换内容，请按照实际情况进行替换填写，填写后请删除中括号。
2、模板中“（）”内的内容为填报要求的说明内容，请认真研读，并按照要求撰写，最后请删除所有模板中自带的“（）”及内容。
3、请删除当前“填报说明”页。
4、有关算法备案提交材料、流程有任何疑问可+微xin 号:Suanfabeiandayu互联网信息服务算法安全自评估报告（生成合成类-服务提供者）一、算法情况（一）算法流程（以流程图的形式提供算法的描述，描述从原始数据输入开始到最终结果输出的整个算法服务链路，流程图中每个节点粒度不大于单个算法模型或干预策略）（二）算法数据（详细描述算法流程中各节点的输入数据、输出数据，以及整个算法流程的最终结果数据）（对于训练数据的描述应在此处展开）（对于文本、语音类的生成合成应描述输入数据的语种和输出数据的语种;对于跨模态的生成合成应描述输入数据的模态和输出数据的模态）1．【名称】**类输入数据（包括输入数据的模态、输入数据是否涉及生物特征信息及生物特征信息是什么、输入特殊物体等非生物识别信息等，按照数据类型逐一填写）2．【名称】**类输出数据（包括输出数据的模态、文件格式、文件大小等，按照数据类型逐一填写）3．【名称】**类训练数据（包括训练数据的类型、来源、规模等，按照数据类型逐一填写，如无训练数据，无需填写此项）4．【等】数据（三）算法模型（算法模型在算法流程中指的是应用统计学习、深度学习等机器学习方法的节点，如n-gram、GAN等，基于规则的或人工定义的方法也应在此处进行描述。
）（对于训练数据的预处理和后处理方法应在本节进行详细描述）1．【名称】深度合成模型（包括模型的基本情况：模型名称、版本号、更新时间、数据情况等；模型的描述：模型类型、结构、优化目标、评价指标、指标效果、更新迭代策略等；如包含人脸替换、姿态操控等多个环节，可按照算法功能模块逐一填写）2．【名称】人脸识别模型（包括模型的基本情况：模型名称、版本号、更新时间、数据情况等；模型的描述：模型类型、结构、优化目标、评价指标、指标效果、更新迭代策略等）3．【名称】深度合成检测模型（包括模型的基本情况：模型名称、版本号、更新时间、数据情况等；模型的描述：模型类型、结构、优化目标、评价指标、指标效果、更新迭代策略等；如无此情况，可不进行填写。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
仅二级/一级要求：依据相关标准中的威胁分类方法对威胁进行分类。
威胁类别清单
32.
仅二级/一级要求：应识别出组织和信息系统中潜在的对组织和信息系统造成影响的威胁。
对组织和信息系统造成的潜在要求：采用多种方法进行威胁调查。
威胁调查的方法证明材料。
34.
风险识别-已有安全措施确认
18.
风险识别阶段-资产识别
参考国家或国际标准，对资产进行分类。
参照已发布的标准，形成的资产分类列表。
19.
识别重要信息资产，形成资产清单。
项目的重要资产清单。
20.
对已识别的重要资产，分析资产的保密性、完整性和可用性等安全属性的等级要求。
项目的重要资产的三性等级要求列表
21.
对资产进行赋值
项目的重要资产赋值表。
2.
仅二级/一级要求：针对多种类型组织，多行业组织，至少完成一个风险评估项目，该系统的用户数在10,000以上；具备从管理和技术层面对脆弱性进行识别的能力。
提供一个已完成项目的合同、用户数、验收的证明材料，包括管理和技术层面脆弱性识别的材料。
3.
仅一级要求：能够在全国范围内，针对5个（含）以上行业开展风险评估服务；至少完成两个风险评估项目，该系统的用户数在100,000以上；具备从业务、管理和技术层面对脆弱性进行识别的能力。具备跟踪、验证、挖掘信息安全漏洞的能力。
提供5个已完成项目的合同、用户数、验收的证明材料，从业务、管理和技术层面对脆弱性进行识别的材料。提供跟踪、验证、挖掘信息安全漏洞的证明材料。
4.
准备阶段
-服务方案制定
编制风险评估方案、风险评估模板，并在项目实施过程中按照模板实施
信息安全风险评估方案、风险评估模板。
5.
仅二级/一级要求：根据评估目标和范围，确定风险评估对象中包含的信息系统，以及对组织的资产进行分类。
风险评估方案明确评估依据和评估方法，评估依据和评估方法符合国家标准、行业标准及相关要求。
9.
仅二级/一级要求：应形成较为完整的风险评估实施方案。
10.
准备阶段
-人员和工具准备
应组建评估团队。风险评估实施团队应由管理层、相关业务骨干、IT技术人员等组成。
风险评估方案明确风险评估实施团队，团队成员应由管理层、相关业务骨干、IT技术人员等角色组成。
信息安全
组织名称
申报级别
评估时间
评估部门/人员
序号
要点
条款
需提供证明材料
自评估结论
证明材料清单
符合
不符合
1.
基本资格
至少有一个完成的风险评估项目，该系统的用户数在1,000以上；具备从管理或（和）技术层面对脆弱性进行识别的能力。
提供一个已完成项目的合同、用户数、验收的证明材料，包括管理或（和）技术层面脆弱性识别的材料。
22.
仅一级要求：识别信息系统处理的业务功能，重点识别出关键业务功能和关键业务流程。
项目中的识别信息系统、以及业务系统承载的业务、业务流程的证明材料。
23.
仅一级要求：根据业务特点和业务流程应识别出关键数据和关键服务。
项目中的识别信息系统、以及业务系统承载的业务、业务流程的证明材料。
24.
仅一级要求：识别处理数据和提供服务所需的关键系统单元和关键系统组件。
对被评估的信息系统进行识别的证明材料。
6.
应为风险评估实施活动提供总体计划或方案，方案应包含风险评价原则。
已完成项目的风险评估方案，方案中包含风险评价原则。
7.
仅二级/一级要求：应进行充分的系统调研，形成调研报告。
已完成项目的系统调研报告，报告中被评估对象有清晰的描述。
8.
仅二级/一级要求：宜根据风险评估目标以及调研结果，确定评估依据和评估方法。
已完成项目的风险评估报告中，对资产、脆弱性及安全措施的分析的描述。
38.
应根据分析模型确定的方法计算出风险值。
已完成项目的风险评估报告中对计算方法的描述，并得出风险值。
39.
仅二级/一级要求：构建风险分析模型应将资产、威胁、脆弱性三个基本要素及每个要素各自的属性进行关联。
已完成项目的风险评估报告中对资产、威胁、脆弱性三个基本要素进行关联的证明材料。
14.
仅二级/一级要求：需采取相关措施，保障工具自身的安全性、适用性；
工具的安全测试证明材料；风险评估启动前的工具测试记录，记录包括对工具的适用性记录。
15.
仅二级/一级要求：建立项目管理规程，对项目按规程进行管理
参照ISCCC提供的项目管理制度，结合一个已完成项目查验其项目管理制度的可行性。
16.
27.
风险识别阶段-威胁识别
应参考国家或国际标准，对威胁进行分类。
威胁分类清单。
28.
应识别对已识别的信息资产存在的潜在威胁；
项目中的威胁识别清单
29.
应识别威胁利用脆弱性的可能性；
其分析脆弱性发生可能性的证明材料。
30.
应分析威胁利用脆弱性对组织可能造成的影响。
分析脆弱性发生对组织造成影响的证明材料。
仅一级要求：需采取相关措施，保障工具管理的规范性以及工具自身的安全性、适用性；
建立相应的工具管理制度，并按照制度执行。
17.
仅一级要求：建立项目管理规程，对项目按规程进行管理；必要时，采取项目群、项目组合管理。
项目管理制度，结合一个已完成项目查验项目管理制度的可行性。
查验其对项目群、项目组合管理要求，及其实施的记录。
应识别组织已采取的安全措施；
已完成项目的已识别的安全措施列表。
35.
应评价已采取的安全措施的有效性。
安全措施有效性的证明材料。
36.
风险分析阶段-风险分析模型建立
应构建风险分析模型。
已完成项目的风险评估报告中的风险分析模型的描述，并验证其可行性、科学性。
37.
应根据风险分析模型对已识别的重要资产的威胁、脆弱性及安全措施进行分析。
项目中的处理数据和提供服务所需的关键系统单元和关键系统组件。
25.
风险识别阶段-脆弱性识别
应对已识别资产的安全管理或技术脆弱性利用适当的工具进行核查，并形成安全管理或（和）技术脆弱性列表。
项目中对脆弱性识别时使用的工具列表、管理或（和）技术脆弱性列表。
26.
应对脆弱性进行赋值。
项目的脆弱性赋值列表。
11.
应根据评估的需求准备必要的工具。
风险评估方案明确风险评估工具，检查其工具列表及主要功能描述。
12.
应对评估团队实施风险评估前进行安全教育和技术培训。
项目实施前的安全教育及技术培训的证明材料，如启动会的PPT，PPT中包含培训的内容。
13.
对项目采取文档化管理
项目管理制度中包含文档管理的相关内容。