信息安全风险评估调查表

表1：

基本信息调查

1

- 2 -

网络设备：路由器、网关、交换机等。

安全设备：防火墙、入侵检测系统、身份鉴别等。

服务器设备：大型机、小型机、服务器、工作站、台式计算机、便携计算机等。

终端设备：办公计算机、移动存储设备。

重要程度：依据被检查机构数据所有者认为资产对业务影响的重要性填写非常重要、重要、一般。

- 3 -

填写说明

系统软件：操作系统、系统服务、中间件、数据库管理系统、开发系统等。

应用软件：项目管理软件、网管软件、办公软件等。

- 4 -

服务类型包括：1.网络服务；2.安全工程；3.灾难恢复；4.安全运维服务；5.安全应急响应；6.安全培训；7.安全咨询；8.安全风险评估；9.安全审计；10.安全研发。

岗位名称：1、数据录入员；2、软件开发员；3、桌面管理员；4、系统管理员；5、安全管理员；6、数据库管理员；7、网络管理员；8、质量管理员。

- 5 -

填写说明

信息系统文档类别：信息系统组织机构及管理制度、信息系统安全设计、实施、运维文档；系统开发程序文件、资料等。

- 6 -

- 7 -

1、用户分布范围栏填写全国、全省、本地区、本单位

2、业务处理信息类别一栏填写：a) 国家秘密信息；b) 非密敏感信息(机构或公民的专有信息) ；c) 可公开信息

3、重要程度栏填写非常重要、重要、一般

4、如通过测评，请填写时间和测评机构名称。

1、网络区域主要包括：服务器域、数据存储域、网管域、数据中心域、核心交换域、涉密终端域、办公域、接入域和外联域等；

2、重要程度填写非常重要、重要、一般。

- 8 -

注：安全事件的类别和级别定义请参照GB/Z20986-2007《信息安全事件分类分级指南》

- 9 -

- 10 -

表2：

安全状况调查

1. 安全管理机构

安全组织体系是否健全，管理职责是否明确，安全管理机构岗位

安全策略及管理规章制度的完善性、可行性和科学性的有关规章

人员的安全和保密意识教育、安全技能培训情况，重点、敏感岗

4. 系统建设管理

关键资产采购时是否进行了安全性测评，对服务机构和人员的保密约束情况如何，在服务提供过程中是否采取了管控措施。信息系统开发过程中设计、开发和验收的管理情况。

5. 系统运维管理

设备、系统的操作和维护记录，变更管理，安全事件分析和报告；运行环境与开发环境的分离情况；安全审计、补丁升级管理、安全漏洞检测、网管、权限管理及密码管理等情况，重点检查系统性能的监控措施及运行状况。

6. 物理安全

7.网络安全

安全域划分、边界防护、内网防护、外部设备接入控制等情况。

8.设备和主机安全

网络交换设备、安全设备、主机和终端设备的安全性，操作系统的安全配置、病毒防护、恶意代码防范等。

9.应用安全

数据库、WEB网站、日常办公和业务系统等应用的安全设计、配置和管理情况；关键应用系统开发过程中的质量控制和安全性测试

10.数据安全

数据访问控制情况，服务器、用户终端、数据库等数据加密保护能力，磁盘、光盘、U盘和移动硬盘等存储介质管理情况，数据备份

11.应急响应与灾难恢复

应急响应体系(应急组织、应急预案、应急物资)建设情况，应急演练情况；系统与数据的灾难备份措施情况，重点是要通过应急演练