运维服务项目-D18信息安全风险评估表-模板
信息安全风险评估表
信息安全风险评估表
精心整理
表1：基本信息调查
1.硬件资产情况
1.1.网络设备情况
网络设备名称、型号、物理位置、所属网络区域、IP地
址/掩码/网关、系统软件及版本、端口类型及数量、主要用途、是否热备、重要程度。
1.2.安全设备情况
安全设备名称、型号、软件/硬件位置、所属网络区域、
IP地址/掩码/网关、操作系统版本/补丁、安装应用系统软件名称、主要业务应用、涉及数据、是否热备。
1.3.服务器设备情况
服务器设备型号、物理位置。
1.4.终端设备情况
终端设备名称、型号、物理位置、所属网络、设备数量、IP地址/掩码/网关、操作系统版本。
2.软件资产情况
2.1.系统软件情况
系统软件名称、版本、开发商、软件厂商、硬件/软件平台、C/S或B/S模式、B/S硬件平台、涉及数据、涉及应用系统、现有用户数量、主要用户角色。
2.2.应用软件情况
应用系统软件名称、涉及数据。
3.文档资产情况
3.1.信息系统安全文档列表
信息系统文档类别、文档名称。
4.信息系统情况
4.1、系统网络拓扑图
网络结构图要求：标识网络设备、服务器设备和主要终端设备及其名称；标识服务器设备的IP地址；标识网络区域划分等情况。
信息安全风险评估表
资产的类型、所处位置相同，但资产赋值不同时，若采取的控制措施相 同，威胁及脆弱性的赋值基本保持一致。 3.残余风险赋值原则
如果风险可接受，暂不采取除现有控制措施以外的控制措施时，残余风 险与风险值一致。
的参考说明。
附录2-威胁、脆弱性对照表 附录3-风险等级对照表
按照资产类别排序的威胁、脆弱性对照表，用于资产风险 识风别险。计算结果对应风险等级的参照表，用于确定风险级别 。
资产识别 资产赋值 风险评估
注意事项
信息系统包含的资产主要指与信息系统直接相关的资产，如 信息：信息系统上传输的数据、信息系统的设计开发文档 软件：信息系统正常运行所需的应用、中间件、数据库、操作系统等 硬件：信息系统正常运行所需的服务器、小型机、磁盘柜等 关键活动包含的资产主要指活动进行所必须的6类资产，如 硬件：各部门用于存储、处理、传输日常办公及客户信息的各种设备和介 质，例 如移动硬盘、台式机、计算机等。 软件：各种本部门安装使用的软件，包括操作系统、中间件、数据库、应用 软件、工具应用软件、终端安全软件等。 信息：括各种业务相关的电子类及纸质的文件资料，可按照部门现有文件明 细列举。 人员：本部门各种对信息资产进行使用、操作和支持的人员角色，含为部门 提供各种服务的外部人员（例如长期驻场外包人员）。 物理环境：承载硬件资产和信息资产的设施。非计算机硬件类的实体。 服务：各种本部门通过购买方式获取的，或者需要支持部门特别提供的，支 持或协助日常业务进行的服务。
信息安全风险评估清单
编 号1 步骤1-业务影响分析
2 步骤2-资产清单 3 步骤3-风险清单 4 步骤4-风险处置计划
文档目录及说明
信息安全风险评估记录表
信息安全风险评估记录表XXX信息安全风险评估记录表部门：XX部资产名称：1.台式计算机2.服务器3.笔记本4.网线5.INTEL网络服务6.路由器7.U盘8.WINDOWS XP9.源代码10.软件11.概要设计说明书12.产品数据库数据13.产品用户手册14.BUG报告15.用户培训记录重要度面临威胁脆弱性措施有效可能性风险1.台式计算机 6 10 3 3 5 302.服务器 10 10 5 3 7 703.笔记本 8 8 4 4 8 644.网线 8 8 4 4 8 645.INTEL网络服务 6 6 3 3 5 306.路由器 4 4 4 4 7 287.U盘 4 4 4 4 7 288.WINDOWS XP 10 1 1 1 4 49.源代码 10 5 5 5 9 4510.软件 6 4 4 4 8 3211.概要设计说明书 4 4 4 5 6 2412.产品数据库数据 4 4 4 4 8 3213.产品用户手册 4 4 4 4 7 2814.BUG报告 1 5 5 5 9 4515.用户培训记录 10 3 2 5 8 40存在的问题：1.台式计算机：无杀毒软件，无备份策略，无口令策略，配置被修改，无法使用。
2.服务器：无杀毒软件，服务器损坏无法使用。
3.笔记本：无法使用。
4.网线：无防护措施，数据泄密。
5.XXX网络服务：无管理制度。
6.路由器：操作系统存在漏洞，无访问控制，无安全备份。
7.U盘：无备份安全策略。
8.WINDOWS XP：暴露。
9.源代码：人为破环，盗窃。
10.软件：数据丢失/损坏/篡改，存储介质故障。
11.概要设计说明书：无拷贝控制，存储介质故障。
12.产品数据库数据：无备份安全策略，存储介质故障。
13.产品用户手册：无备份安全策略，存储介质故障。
14.BUG报告：存储介质故障。
15.用户培训记录：无访问控制。
措施：1.台式计算机：安装杀毒软件，制定备份策略，设置口令策略，修复配置，恢复使用。
信息安全风险评估表
功能描述
1 电脑终端
2 应用软件
3 系统软件 4 5 6 7 8 9 10 11 12 13 14
编制：
公司业务处理 公司业务处理 信息处理
所属部门 IT部 IT部 IT部
信息安全风险评估表
资产重要度等级
资产重要性
资产完整性
资产可用性
得 分
固有风险评估
4
3
3
10
1、非法使用 2、发生故障
4
3
3
10
应用软件出错而 中断使用
4
3
3
10
系统软件运行出 错而中断使用
影响等级
破坏程 度
得分 现场控制措施
发生可能性等级
控制措施 发生容易
有效性
度
得分
风险 等级
风险 等级
计划控制 责任部
措施
门
1、使用域进行管理权
100% 10 限、密码
2
2
4 40 中
IT部
2、定期维护
100% 10 1、购买优质应用软件
1
2
3 30 中
IT部
100% 100%
10 1、定期系统维护 0
1
2
3 30 中
IT部
1000% 0
100% 0
100% 0
100% 0
100% 0
100% 0
审核：
批准：
信息安全评估表
程中被窃听；
6.应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有
唯一性；
7.应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别，并且身份
鉴别信息至少有一种是不可伪造的。
1.3.2
安全标记（S4）
应对所有主体和客体设置敏感标记；
堵的时候优先保护重要主机。
1.2.2
访问控制（G4）
1.应在网络边界部署访问控制设备，启用访问控制功能；
2.应不允许数据带通用协议通过；
3.应根据数据的敏感标记允许或拒绝数据通过；
4.应不开放远程拨号访问功能
1.2.3
安全审计（G4）
1.应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；
3.应对关键区域实施电磁屏蔽。
序号
控制点项目
安全标准
评估情况
说明
1.2.1
结构安全（G4）
1.应保证网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；
2.应保证网络各个部分的带宽满足业务高峰期需要；
3.应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；
4.应绘制与当前运行情况相符的网络拓扑结构图；
路径。
1.3.5
安全审计（G4）
1.审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用
户；
2.审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用
等系统内重要的安全相关事件；
3.审计记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等；
4.应能够根据记录数据进行分析，并生成审计报表；
信息安全风险评估报告模板
XXXXXXXX信息系统信息安全风险评估报告模板项目名称：项目建设单位：风险评估单位：****年**月**日目录一、风险评估项目概述 (1)1.1工程项目概况 (1)1.1.1 建设项目基本信息 (1)1.1.2 建设单位基本信息 (1)1.1.3承建单位基本信息 (2)1.2风险评估实施单位基本情况 (2)二、风险评估活动概述 (2)2.1风险评估工作组织管理 (2)2.2风险评估工作过程 (2)2.3依据的技术标准及相关法规文件 (2)2.4保障与限制条件 (3)三、评估对象 (3)3.1评估对象构成与定级 (3)3.1.1 网络结构 (3)3.1.2 业务应用 (3)3.1.3 子系统构成及定级 (3)3.2评估对象等级保护措施 (3)3.2.1XX子系统的等级保护措施 (3)3.2.2子系统N的等级保护措施 (3)四、资产识别与分析 (4)4.1资产类型与赋值 (4)4.1.1资产类型 (4)4.1.2资产赋值 (4)4.2关键资产说明 (4)五、威胁识别与分析 (4)5.2威胁描述与分析 (5)5.2.1 威胁源分析 (5)5.2.2 威胁行为分析 (5)5.2.3 威胁能量分析 (5)5.3威胁赋值 (5)六、脆弱性识别与分析 (5)6.1常规脆弱性描述 (5)6.1.1 管理脆弱性 (5)6.1.2 网络脆弱性 (5)6.1.3系统脆弱性 (5)6.1.4应用脆弱性 (5)6.1.5数据处理和存储脆弱性 (6)6.1.6运行维护脆弱性 (6)6.1.7灾备与应急响应脆弱性 (6)6.1.8物理脆弱性 (6)6.2脆弱性专项检测 (6)6.2.1木马病毒专项检查 (6)6.2.2渗透与攻击性专项测试 (6)6.2.3关键设备安全性专项测试 (6)6.2.4设备采购和维保服务专项检测 (6)6.2.5其他专项检测 (6)6.2.6安全保护效果综合验证 (6)6.3脆弱性综合列表 (6)七、风险分析 (6)7.1关键资产的风险计算结果 (6)7.2关键资产的风险等级 (7)7.2.1 风险等级列表 (7)7.2.3 基于脆弱性的风险排名 (7)7.2.4 风险结果分析 (7)八、综合分析与评价 (7)九、整改意见 (7)附件1：管理措施表 (8)附件2：技术措施表 (9)附件3：资产类型与赋值表 (11)附件4：威胁赋值表 (11)附件5：脆弱性分析赋值表 (12)一、风险评估项目概述1.1 工程项目概况1.1.1 建设项目基本信息1.1.2 建设单位基本信息1.1.3承建单位基本信息1.2 风险评估实施单位基本情况二、风险评估活动概述2.1 风险评估工作组织管理描述本次风险评估工作的组织体系（含评估人员构成）、工作原则和采取的保密措施。
信息安全风险评估表格
信息安全风险评估表格
风险类型风险描述
影响程
度
发生概
率
风险级
别
建议控制措施
1 数据泄露高中高加强访问控制、加密敏感数
据
2 病毒感染中高高安装有效的防病毒软件、定
期更新
3 员工错误中中中提供培训、建立标准操作流
程
4 物理入侵高低中使用安全门禁系统、视频监
控
5 网络攻击高中高实施防火墙、入侵检测和预
防系统
6 不当使用
权限
中中中角色分离、最小权限原则... ... ... ... ... ...
在表格中，每一行代表一个特定的风险。
各列的含义如下：
风险类型：对风险进行分类或编号，方便跟踪和识别。
风险描述：简要描述风险的具体情况，例如数据泄露、病毒感染等。
影响程度：评估风险发生后可能对组织造成的影响程度，如高、中、低等级。
发生概率：评估风险发生的概率，通常使用高、中、低等级或百分比表示。
风险级别：根据影响程度和发生概率综合评估的风险级别，可以通过计算得出或根据经验判断。
建议控制措施：提供针对该风险的建议控制措施，用于降低风险的发生和影响。
参考-运维项目评估风险表模板
难以配合 难以配合 完全不能匹 配 完全不能匹 配
存在芥蒂 存在芥蒂 几乎不能匹 配 几乎不能匹 配 不清晰 多变 有，但多变 差，以某个 领导驱动 需要疏通 有法律法规 要求，不严 格 影响大，项 目启动后还 有关键人物 提对手说话 有现成的、 匹配的解决 方案，幵有 成功的案例
周期短，2个 3.00% 月内 适中，在公 司最低价格 0.80% 上有较大上 浮 开口合同， 折算人工日 1500元以上 开口合同， 折算人工日 6000元以上 比公司常规 合同条件优 惠 首付40% 经营环境 好，现金流 充足，利润 丰厚 经营环境 好，付款及 时 深度参与项 目各阶段沟 通及会议 完全满足项 目运作 2.00%
建立，执行 差 建立，执行 差 业务跨多行 业，2个以上 业务基本定 型 基本明确 基本明确 主要需求明 确 工作量一 般，在100 工作日内 周期较短，3 个月内 适中，在公 司最低价格 上有一定上 浮 闭口合同， 折算人工日 不到1500元 闭口合同， 折算人工日 不到6000元 适中，公司 常规合同 首付30% 经营环境较 好，现金流 充足 经营环境 好，支付打 折 仅关注里程 碑 基本满足项 目运作
险评估表
风险得分 3
大概了解 大概了解 大概了解 大概了解 主要业务需 求引导 大概了解 主要业务领 域挖掘 主要业务领 域基本匹配 已有部分现 成开发插件 部分需求明 确 工作量适 中，超过 100工作日 周期适中，6 个月内 难度适中 短时间内可 以找到 短时间内可 以找到 3个月内不能 进入 团队成员搭 配不合理 合理但执行 差 计划执行不 到位 建立但流于 形式 建立但流于 形式 建立但流于 形式
客户业务定型
客户 客户业务需求是否明确 需求 客户管理需求是否明确 个性开发需求是否明确 个性 个性开发工作量 化开 发 个性开发周期 软件价格
信息安全风险评估表
利用域管理，关闭相关系统的管理权限，个人无权限进行 安装程序等； ⑴ 不要随意打开来历不明的邮件现在许多木马都是通过邮 件来传播的，当用户收到来历不明的邮件时请不要打开， 应尽快删除。同时要加强邮件监控系统，拒收垃圾邮件⑵ 不要随意下载来历不明的软件最好是在一些知名的网站下 载软件，不要下载和运行那些来历不明的软件。在安装软 件的之前最好用杀毒软件查看是否含有病毒，然后才进行 信息科 安装。 ⑶ 及时修补漏洞和关闭可疑的端口一些木马都是通过漏洞 在系统上打开端口留下后门，以便上传木马文件和执行代 码，在把漏洞修补上的同时，需要对端口进行检查，把可 疑的端口关闭。运行实时监控程序 在上网时最好运行反木 马实时监控程序和个人防火墙，并定时对系统进行病毒检 查。
规行为；内部员工使用网络文
件共享或者乱用笔记本电脑造 成数据泄露；内部员工的粗心
较大可能 较大影响
大意是到目前为止企业数据安
全的最大威胁
高
特定工作的员工是否访问了超出工作范围的数据。
2、使用个人访问控制工具，保证系统记录下每一个曾经访
问过重要信息的人。此外，保存客户和员工信息的数据库
更应当对访问加以严格限制。
2.软件集中管理，按照公司要求限定所有机器只能运行必需
的办公软件。
3.环境集中管理，利用AD可以统一客户端桌面,IE,TCP/IP等 设置
信息科
4.活动目录是企业基础架构的根本，为公司整体统一管理做 基础。其它isa,exchange, 防病毒 服务 器， 补丁 分发 服务 器，文件服务器等服务依赖于域服务器
权限
FX003
用户总想多安装一些Windows 应用程序，但是，如果管理员 真的给了用户这个本地管理权 限，那么网络有可能面临严重 较大可能 较大影响 的威胁，而且，由于用户安装 应用程序产生的危险越多，网 络安全工作就越复杂。
信息安全风险评估报告【范本模板】
1111单位:1111系统安全项目信息安全风险评估报告我们单位名日期报告编写人: 日期：批准人:日期：版本号：第一版本日期第二版本日期终板目录1概述 (4)1。
1项目背景 (4)1.2工作方法 (4)1.3评估范围 (4)1.4基本信息 (4)2业务系统分析 (5)2。
1业务系统职能 (5)2。
2网络拓扑结构 (5)2.3边界数据流向 (5)3资产分析 (5)3.1信息资产分析 (5)3.1.1信息资产识别概述 (5)3。
1.2信息资产识别 (6)4威胁分析 (6)4.1威胁分析概述 (6)4。
2威胁分类 (7)4.3威胁主体 (7)4。
4威胁识别 (8)5脆弱性分析 (8)5.1脆弱性分析概述 (8)5.2技术脆弱性分析 (9)5。
2.1网络平台脆弱性分析 (9)5。
2。
2 ......................................................................................................... 操作系统脆弱性分析9 5。
2.3脆弱性扫描结果分析 (10)5。
2.3.1扫描资产列表 (10)5。
2。
3。
2........................................................................................................... 高危漏洞分析10 5。
2.3。
3系统帐户分析 (10)5.2。
3.4应用帐户分析 (10)5。
3管理脆弱性分析 (11)5.4脆弱性识别 (12)6风险分析 (13)6。
1风险分析概述 (13)6.2资产风险分布 (13)6.3资产风险列表 (14)7系统安全加固建议 (14)7。
1管理类建议 (14)7.2技术类建议 (14)7。
2。
1 ............................................................................................................................. 安全措施14 7。
2019年最新的ISO27001-2018信息安全风险识别评价分析评估表(ISMS信息安全风险评估)
网络传输中被 未使用密码技术 文件信息外泄
窃取
使用加密系统控
5
2 3 30 3 接受
制
瘟疫、火灾、爆 炸、雷击、恐怖 缺乏应急机制 袭击等
客户信息丢失，业务 5
开展产生困难
设置必要的放 1 2 10 1 接受
火，放雷机制
自然灾难：地 缺乏应急机制
震、洪水、台风
客户信息丢失，业务 5
开展产生困难
对重要数据进行 1 2 10 1 接受
炸、雷击、恐怖 缺乏应急机制
5
供开票及联 袭击等
工作开展困难
系
网络传输中被
未使用密码技术 文件信息外泄
5
窃取
自然灾难：地 缺乏应急机制
震、洪水、台风
文件信息丢失，人事 5
工作开展困难
合同报价等资料 放在上锁的文件 柜中
合同报价等资料 放在上锁的文件 柜中
设置必要的放 2 3 30 3 接受
火，放雷机制
采购合同
合同
SL-DATA-021
代理合同
SL-DATA-022
厂商报价
SL-DATA-014 报价、合同样本
SL-DATA-015 销售合同 SL-DATA-023 客户报价
合同
SL-DATA-024 客户合同
瘟疫、火灾、爆 炸、雷击、恐怖 缺乏应急机制 袭击等
文件信息丢失，人事 5
工作开展困难
自然灾难：地 缺乏应急机制
使用加密系统控 2 3 30 3 接受
制 对重要数据进行 定期移动硬盘备 1 2 10 1 接受 份
盗窃
存放缺乏保护
合同丢失，影响后续 5
服务或收款等内容
未经授权使用、 访问权限没有控 数据被删除，修改或
信息安全风险评估报告模板
XXXXXXXX信息系统信息安全风险评估报告模板项目名称：项目建设单位：风险评估单位：****年**月**日目录一、风险评估项目概述 (1)1.1工程项目概况 (1)1.1.1建设项目基本信息1.1.2建设单位基本信息1.1.3承建单位基本信息........................................................ . (1)........................................................ . (1)........................................................ .. (2)1.2风险评估实施单位基本情况................................................................. . (2)二、风险评估活动概述..................................................................... (2)2.1风险评估工作组织管理................................................................. .. (2)2.2风险评估工作过程................................................................. .. (2)2.3依据的技术标准及相关法规文件................................................................. (2)2.4保障与限制条件................................................................. . (3)三、评估对象..................................................................... (3)3.1评估对象构成与定级................................................................. (3)3.1.1 网络结构............................................................. (3)3.1.2 业务应用............................................................. (3)3.1.3 子系统构成及定级............................................................. (3)......................................3.2.1 XX子系统的等级保护措施............................................................. . (3)3.2.2 子系统N的等级保护措施............................................................. (3)四、资产识别与分析4.1资产类型与赋值.............................................................. (4)............................................................. .. (4)4.1.1资产类型4.1.2资产赋值................................................................. (4)................................................................. (4)4.2关键资产说明 (4)五、威胁识别与分析 (4)5.1威胁数据采集 ....................................................... 5 5.2威胁描述与分析5.2.1威胁源分析 (5)....................................................................................................................... 5 5.2.2威胁行为分析5.2.3威胁能量分析 (5).................................................................................................................. 5 5.3威胁赋值 .. (5)六、脆弱性识别与分析..................................................... 5 6.1常规脆弱性描述 6.1.1管理脆弱性 6.1.2网络脆弱性 6.1.3系统脆弱性6.1.4应用脆弱性............................................................. (5).............................................................. (5).............................................................. (5) (5) (5)6.1.5数据处理和存储脆弱性 (6)6.1.6运行维护脆弱性 .................................................. 6 6.1.7灾备与应急响应脆弱性 ............................................ 6 6.1.8物理脆弱性6.2脆弱性专项检测............................................................... (6) (6)6.2.1 木马病毒专项检查..........................................................................................................6 渗透与攻击性专项测试..............................................................6.2.3 关键设备安全性专项测试............................................................................................66.2.4 设备采购和维保服务专项检测..................................................................................66.2.5 其他专项检测...................................................................................................................66.2.6 安全保护效果综合验证 (6)6.3 脆弱性综合列表 (6)七、风险分析.....................................................................................................................................67.1 关键资产的风险计算结果..................................................................................................67.2 关键资产的风险等级...........................................................................................................77.2.1 风险等级列表..................................................................................................................77.2.2风险等级统计 (7)7.2.3基于脆弱性的风险排名 (7)7.2.4风险结果分析 (7)八、综合分析与评价 (7)九、整改意见 (7)附件1：管理措施表 (8)附件2：技术措施表 (9)附件3：资产类型与赋值表 (11)附件4：威胁赋值表 (11)附件5：脆弱性分析赋值表 (12)一、风险评估项目概述1.1工程项目概况1.1.1建设项目基本信息工程项目名称非涉密信息系统部分的建设工程项目内容批复的建设内容相应的信息安全保护系统建设内容项目完成时间项目试运行时间1.1.2建设单位基本信息工程建设牵头部门部门名称工程责任人通信地址联系电话电子邮件工程建设参与部门部门名称工程责任人通信地址联系电话电子邮件如有多个参与部门，分别填写上1.1.3承建单位基本信息如有多个承建单位，分别填写下表。
运维服务项目-D18信息安全风险评估表-模板
客户代表
3 3 3 3 日期
4
4
4
4
4
4
4
4
20XX/8/5
3
144
3
3
144
3
3
144
3
3
144
3
全风险评估表
面临威胁
威胁可以利用的 脆弱性
目前措施说明
窃取
服务人员保密意 识差、私人目的
在运维合同中确定保 密条款；服务工程师 的安全意识教育
人为破坏、误 操作
系统文件易损坏
服务工程师的安全意 识教育，规范操作流
人为破坏、误 操作
系统文件易损坏
服务工程师的安全意 识教育，规范操作流
人为破坏、误 操作
系统文件易损坏
服务工程师的安全意 识教育，规范操作流
人为破坏、误 操作
设施易损坏
服务工程师的安全意 识教育，规范操作流
措施评价
威胁 脆弱
风险等 级
措施有效 2 1
2
措施有效 2 1
2
措施有效 2 1
2
措施有效 2 1
编 号：
序号 Байду номын сангаас产类别
资产名称
信息安全风险评估表
地点 C保密性 I完整性 A可用性 H合规性 汇总
重要 等级
1
数据 应急指挥系统中的数据 客户方
5
5
5
5
625
5
26 27 软件
28
34 设施 分析人 员：
数据库软件
客户方
数据传输中间件、工具 软件
客户方
卫生应急指挥系统软件 客户方
电力、电缆等支持设施 客户方
2
措施有效 2 1
2
运维服务项目-D20安全评估报告-模板
运维服务项目-D20安全评估报告-模板1. 概述本文档提供了运维服务项目D20的安全评估报告模板。
2. 评估范围本次安全评估主要涵盖以下方面：- 系统架构和网络拓扑- 系统安全性- 数据安全性- 运维流程和策略- 平台和工具安全性3. 评估方法本次安全评估采用了以下方法：- 安全漏洞扫描- 渗透测试- 安全设置审查- 物理访问测试- 运维流程审查4. 安全评估结果4.1 系统架构和网络拓扑- 系统架构符合安全标准，没有发现重大安全隐患。
- 网络拓扑合理，存在一些潜在的网络风险，建议加强网络设备的安全设置。
4.2 系统安全性- 系统针对常见的安全漏洞已经进行了补丁和更新，整体安全性较高。
- 存在一些弱密码和权限配置问题，建议对系统进行进一步加固。
4.3 数据安全性- 数据存储和传输过程中有加密措施，数据安全性较好。
- 需要加强数据备份和灾难恢复策略，以应对潜在的风险。
4.4 运维流程和策略- 运维流程合理，但存在一些人为失误的风险。
- 建议加强运维人员的安全意识培训，确保运维流程的安全性。
4.5 平台和工具安全性- 平台和工具的安全性较好，已进行了配置和更新。
- 需要定期对平台和工具进行审查，及时处理新出现的安全问题。
5. 安全建议基于上述评估结果，我们提出以下安全建议：- 加强网络设备的安全设置，确保网络安全性。
- 对系统进行进一步加固，包括强化密码和权限配置。
- 加强数据备份和灾难恢复策略。
- 提升运维人员的安全意识和技能，减少人为失误的风险。
- 定期对平台和工具进行安全审查和更新。
6. 总结本报告详细评估了运维服务项目D20的安全性，并提出了相关的安全建议。
根据评估结果，加强网络安全、系统加固、数据保护和运维人员培训是保障项目安全的关键。
希望上述建议能够对您的项目安全提供有益的指导。
信息安全风险评估表汇总
表1：基本信息调查1.单位基本情况2.硬件资产情况网络设备：路由器、网关、交换机等。
安全设备：防火墙、入侵检测系统、身份鉴别等。
服务器设备：大型机、小型机、服务器、工作站、台式计算机、便携计算机等。
终端设备：办公计算机、移动存储设备。
重要程度：依据被检查机构数据所有者认为资产对业务影响的重要性填写非常重要、重要、一般。
3.软件资产情况填写说明系统软件：操作系统、系统服务、中间件、数据库管理系统、开发系统等。
应用软件：项目管理软件、网管软件、办公软件等。
4.服务资产情况服务类型包括：1.网络服务；2.安全工程；3.灾难恢复；4.安全运维服务；5.安全应急响应；6.安全培训；7.安全咨询；8.安全风险评估；9.安全审计；10.安全研发。
5.人员资产情况岗位名称：1、数据录入员；2、软件开发员；3、桌面管理员；4、系统管理员；5、安全管理员；6、数据库管理员；7、网络管理员；8、质量管理员。
6.文档资产情况填写说明信息系统文档类别：信息系统组织机构及管理制度、信息系统安全设计、实施、运维文档；系统开发程序文件、资料等。
7.信息系统情况1、用户分布范围栏填写全国、全省、本地区、本单位2、业务处理信息类别一栏填写：a) 国家秘密信息；b) 非密敏感信息(机构或公民的专有信息) ；c) 可公开信息3、重要程度栏填写非常重要、重要、一般4、如通过测评，请填写时间和测评机构名称。
1、网络区域主要包括：服务器域、数据存储域、网管域、数据中心域、核心交换域、涉密终端域、办公域、接入域和外联域等；2、重要程度填写非常重要、重要、一般。
注：安全事件的类别和级别定义请参照GB/Z20986-2007《信息安全事件分类分级指南》表2：安全状况调查1. 安全管理机构安全组织体系是否健全，管理职责是否明确，安全管理机构岗位设置、人员配备是否充分合理。
安全策略及管理规章制度的完善性、可行性和科学性的有关规章制度的制定、发布、修订及执行情况。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2
措施有效 2 1
2
客户代表
3 3 3 3 日期
4
4
44Leabharlann 4444
20XX/8/5
3
144
3
3
144
3
3
144
3
3
144
3
全风险评估表
面临威胁
威胁可以利用的 脆弱性
目前措施说明
窃取
服务人员保密意 识差、私人目的
在运维合同中确定保 密条款；服务工程师 的安全意识教育
人为破坏、误 操作
系统文件易损坏
服务工程师的安全意 识教育，规范操作流
人为破坏、误 操作
系统文件易损坏
服务工程师的安全意 识教育，规范操作流
人为破坏、误 操作
系统文件易损坏
服务工程师的安全意 识教育，规范操作流
人为破坏、误 操作
设施易损坏
服务工程师的安全意 识教育，规范操作流
措施评价
威胁 脆弱
风险等 级
措施有效 2 1
2
措施有效 2 1
2
措施有效 2 1
2
措施有效 2 1
编 号：
序号 资产类别
资产名称
信息安全风险评估表
地点 C保密性 I完整性 A可用性 H合规性 汇总
重要 等级
1
数据 应急指挥系统中的数据 客户方
5
5
5
5
625
5
26 27 软件
28
34 设施 分析人 员：
数据库软件
客户方
数据传输中间件、工具 软件
客户方
卫生应急指挥系统软件 客户方
电力、电缆等支持设施 客户方