重要资产信息安全脆弱性汇总表
(完整word版)信息资产威胁和脆弱性对应表
轻微受电压波动影响，易造成严重损失
易受电压波动影响，不易造成严重损失
14
静电
位于易产生静电环境,资产易受静电破坏
位于易产生静电环境，资产不易受静电破坏
位于不易产生静电环境,资产易受静电破坏
工作人员无资产维护意识，没有维护常识
工作人员有资产维护意识，没有维护常识
工作人员无资产维护意识，有维护常识
软件无合法数据验证机制
48
提供给操作人员错误的指南信息
文件匮乏
文档管理混乱
49
软件维护失误
工作人员无资产维护意识,没有维护常识
工作人员有资产维护意识,没有维护常识
工作人员无资产维护意识，有维护常识
无软件更新控制
50
硬件的操作失误
工作人员操作不熟练
设备易损坏
无硬件访问控制
缺乏物理安全措施
51
存储介质的故障
工作人员注重个人利益
工作人员无法律ቤተ መጻሕፍቲ ባይዱ识
工作人员法律意识弱
无数据访问控制
无硬件访问控制
40
内部人员身份假冒
工作人员无法律意识
工作人员弱法律意识
弱密码管理
不易辨认身份的真伪
41
内部人员出卖个人信息
工作人员注重个人利益
工作人员无法律意识
工作人员法律意识弱
数据中心无物理安全措施
数据中心弱物理安全措施
无劳工协议,竞业禁止等保密要求
不易辨认身份的真伪
信息不易辨认真伪
无逻辑访问控制
30
系统篡改
弱密码管理
软件无身份验证机制
软件采用弱身份验证机制
操作系统存在漏洞
应用软件存在漏洞
26、27.脆弱性识别表
现用户的权限分离 未启用安全审计功能，无 法对重要的用户行为和重
要安全事件进行审计 审计记录未包括事件的日 期和时间、用户、事件类 型、事件是否成功及其他
与审计相关的信息 未对审计记录进行保护，
定期备份 设备未关闭TELNET、HTTP
等高危协议 未限制设备网络管理地址
4
3
3 3.6 中
抗DDOS系统 ASSET-10 4
4
3
3 3.6 中
赣服通自安
ASSET-11 4
4
3
3 3.6 中
全交换机
红谷滩赣服
ASSET-12 4
4
4
4
4
高
通业务系统
Apache ASSET-13 3
3
3
3 3.0 中
红谷滩赣服
通业务系统 ASSET-14 4
4
4
4 4.0 高
数据库
账号密码数
要安全事件进行审计 审计记录未包括事件的日 期和时间、用户、事件类 型、事件是否成功及其他
与审计相关的信息 未对审计记录进行保护，
定期备份 设备未关闭TELNET、HTTP
等高危协议 未限制设备网络管理地址
或范围 设备身份标识不唯一，身 份鉴别信息未设置复杂度
要求并定期更换 未设置登录失败处理功能 ，未配置并启用结束会话 、限制非法登录次数和当 登录连接超时自动退出等 未采用两相种关或策两略种以上组
信息员安全领
导小组-信
息安全领导
ASSET-27 4
4
3
3 3.6 中
小组办公室
-信息系统
负责人
信息安全领
导小组-信
信息安全风险评估报告
XXXXX公司信息安全风险评估报告历史版本编制、审核、批准、发布实施、分发信息记录表一.风险项目综述1. 企业名称：XXXXX 公司2. 企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持3. ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。
4. ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。
二.风险评估目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平，进行本次风险评估。
三.风险评估日期：2017-9-10 至2017-9-15四.评估小组成员XXXXXX X五.评估方法综述1、首先由信息安全管理小组牵头组建风险评估小组；2、通过咨询公司对风险评估小组进行相关培训；3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方法；4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产清单；5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级；6、根据风险接受准则得出不可接受风险，并根据标准£027001:2013的附录A制定相关的风险控制措施;7、对于可接受的剩余风险向公司领导汇报并得到批准。
欢迎下载根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。
主要工作过程如下：1. 2017-9-10 ~ 2017-9-10 ，风险评估培训；2. 2017-9-11 ~ 2017-9-11 ，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法;3. 2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类；4. 2017-9-13〜2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在风险，并在ISMS工作组内审核；5. 2017-9-14〜2017-9-14 ，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表；6. 2017-9-15〜2017-9-15 ，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作组组织审核，并最终汇总形成本报告。
ISO27001-2013信息资产风险评估表
员工能力有限
工作中断
离职或突发事件
部门：市场部
部门：市场部
现有控制措施
1、员工有保密协议； 2、责任分割； 对数据进行备份 服务采购加强 访问加密、备份 定期保养维护 系统定期升级 专人专管 防病毒
保密培训、签员工保密协议 实行员工年度培训计划 责任分离、招聘新人
措施评价
控制措施有 效
控制措施有 控制措施有 控制措施有 控制措施有 控制措施有 控制措施有 控制措施有
信息资产风险评估表
资产类别 资产名称 重要等级
威胁列表
脆弱性列表
数据
客户信息 销售合同
硬件ቤተ መጻሕፍቲ ባይዱ办公电脑
人员 市场人员
员工泄密
员工保密意识差
4 人员误操作或有意篡改 文件易修改
云服务出现问题
云服务商问题
遗失或失窃
意外事件
硬件故障
老化
3
系统故障 偷盗丢失
系统漏洞 易携带
病毒攻击
网络
员工泄密
员工意志薄弱
3
工作瓶颈
措施有效 措施有效 措施有效
威胁发生 的频率
脆弱性严 重程度
风险度值
风险级别
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
3
1
9
2
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
(单位)信息系统脆弱性评估报告-
系统物理安全漏洞
评估发现,组织的信息系统物理安全防护存在一些关键漏洞。这些隐患可能被恶意分子利用,对系统和数据造成直接威胁。我们将重点分析这些物理安全方面的隐患,并提出切实可行的加固措施。
风险等级划分
针对前述发现的各类系统安全隐患,我们采用风险评估矩阵对其进行了严格的等级划分。根据漏洞的严重程度和发生概率,将其划分为高、中、低三个风险等级,以便制定针对性的修复策略。
为确保评估报告内容的隐私性和安全性,我们将严格按照组织制定的保密规定进行管理。报告涉及的敏感信息只能由授权人员查阅,不得擅自外泄。报告电子文件需采取加密等安全措施进行储存和传输,纸质报告则需置于专用保密柜中。同时建立完善的权限审核和日志记录机制,对访问行为进行全程监控。
评估报告附件清单
为确保评估报告信息完整,我们将附加相关的支持文件,包括关键系统配置信息、漏洞检测报告、风险评估分析、整改建议明细等。这些附件可为报告的理解和实施提供详尽的依据和参考。
低风险漏洞分析
除了高风险和中风险漏洞,评估过程中还发现了一些相对较低风险的系统安全隐患。这些问题虽然不会直接造成严重后果,但如果长期存在,仍可能被黑客利用来渗透系统或窃取数据。我们将重点分析这些低风险漏洞,制定适当的修复计划,确保组织整体信息安全水平的提升。
漏洞修复建议
基于对各类系统漏洞的深入分析,我们针对每一类漏洞都制定了切实可行的修复建议。这些措施涉及系统配置优化、软件补丁更新、权限管理加强、密码策略完善等多个层面,全面提升组织的整体信息安全防护水平。
系统权限漏洞
评估发现,部分系统的权限管理存在严重漏洞,关键用户账号和特权权限没有得到有效控制。这些权限缺陷可能被黑客利用来提升权限,从而访问敏感信息或破坏系统运行。我们将深入分析这些权限安全隐患并提出改进建议。
GBT22080：2016信息资产风险评估表-综合部
库存现金盘点表、银行对账单及余额 调节表 10
4
金蝶财务软件中的账务数据
4
16
银行系统
4
28
专用电脑
4
容易损毁 容易丢失 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 防护措施不力 防护措施不力 管理环节不强 访问控制不严 格 防护措施不力 防护措施不力 管理环节不强 访问控制不严 格 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更
组织管理 人员管理 人员管理
4 副总、出纳
险评估表
编制日期：2018.04.10 脆弱性等级 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 风险数值表 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 风险级别 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 风险认可 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 处置计划
信息安全系统风险评估-脆弱性识别-操作系统脆弱性表格-《GBT20272-2007》
d)对操作系统中处理的数据，应按回退的要求设计相应的SSOOS安全功能模块，进行异常情况
的操作序列回退，以确保用户数据的完整性。系统应保证在处理过程中不降低数据完整性的级别。
用户数据保密性
a)应确保动态分配与管理的资源，在保持信息安全的情况下被再利用，主要包括：
——鉴别信息应是不可见的，在存储和传输时应按GB/T 20271-2006中6.3.3.8的要求，用加密方法进行安全保护；
——过对不成功的鉴别尝试的值（包括尝试次数和时间的阈值）进行预先定义，并明确规定达到该值时应采取的措施来实现鉴别失败的处理。
c)对注册到操作系统的用户，应按以下要求设计和实现用户-主体绑定功能：
实现对SSF出现失败时的处理。系统因故障或其它原因中断后，应有一种机制去恢复系统。
系统应提供在管理维护状态中运行的能力，管理维护状态只能被系统管理员使用，各种安全
功能全部失效；
n)操作系统环境应控制和审计系统控制台的使用情况；
o)补丁的发布、管理和使用：补丁是对操作系统安全漏洞进行修补的程序的总称。操作系统的
服务器脆弱性识别表格
依据《GB/T20272-2007操作系统安全技术要求》中第三级---安全标记保护级所列举内容编制。
项目
子项
内容
是否符合
备注
安全功能
身份鉴别
a)按GB/T 20271-2006中6.3.3.1.1和以下要求设计和实现用户标识功能：
——凡需进入操作系统的用户，应先进行标识（建立账号）；
理员进程的操作等。当审计激活时应确保审计跟踪事件的完整性；应提供一个机制来显示当前选择的审计事件，这个机制的使用者应是有限的授权用户；
信息安全系统风险评估-脆弱性识别-操作系统脆弱性表格-《GBT20272-2007》
服务器脆弱性识别表格依据《GB/T20272-2007操作系统安全技术要求》中第三级---安全标记保护级所列举内容编制。
项目子项内容是否符合备注安全功能身份鉴别a) 按GB/T 20271-2006 中 6.3.3.1.1 和以下要求设计和实现用户标识功能：——凡需进入操作系统的用户，应先进行标识（建立账号）；——操作系统用户标识应使用用户名和用户标识（UID），并在操作系统的整个生存周期实现用户的唯一性标识，以及用户名或别名、UID 等之间的一致性；b) 按GB/T 20271-2006 中 6.3.3.1.2 和以下要求设计和实现用户鉴别功能：——采用强化管理的口令鉴别/基于令牌的动态口令鉴别/生物特征鉴别/数字证书鉴别等机制进行身份鉴别，并在每次用户登录系统时进行鉴别；——鉴别信息应是不可见的，在存储和传输时应按GB/T 20271-2006 中6.3.3.8 的要求，用加密方法进行安全保护；——过对不成功的鉴别尝试的值（包括尝试次数和时间的阈值）进行预先定义，并明确规定达到该值时应采取的措施来实现鉴别失败的处理。
c) 对注册到操作系统的用户，应按以下要求设计和实现用户-主体绑定功能：——将用户进程与所有者用户相关联，使用户进程的行为可以追溯到进程的所有者用户；——将系统进程动态地与当前服务要求者用户相关联，使系统进程的行为可以追溯到当前服务的要求者用户。
自主访问控制a) 允许命名用户以用户的身份规定并控制对客体的访问，并阻止非授权用户对客体的访问。
b) 设置默认功能，当一个主体生成一个客体时，在该客体的访问控制表中相应地具有该主体的默认值；c) 有更细粒度的自主访问控制，将访问控制的粒度控制在单个用户。
对系统中的每一个客体，都应能够实现由客体的创建者以用户指定方式确定其对该客体的访问权限，而别的同组用户或非同组的用户和用户组对该客体的访问权则应由创建者用户授予；d) 自主访问控制能与身份鉴别和审计相结合，通过确认用户身份的真实性和记录用户的各种成功的或不成功的访问，使用户对自己的行为承担明确的责任；e) 客体的拥有者应是唯一有权修改客体访问权限的主体，拥有者对其拥有的客体应具有全部控制权，但是，不允许客体拥有者把该客体的控制权分配给其他主体；f) 定义访问控制属性，并保护这些属性。
信息资产风险评估表-综合管理部(格式可转换EXCEL)
1 薪酬绩效管理
2 行政管理 3 采购
负责人
业务影响分析
内容描述 主要负责员工每月绩效考核、薪酬制作、核定社保 、公积金、报销及财务管理 主要负责员工档案、劳动关系、招聘、培训、员工 考勤、公司固定资产、办公用品及耗材、礼品的采 购、使用管理；资质管理 主要负责外采设备的询价、购买
业务影响度 5
4 5
2
4
专人管理
2
5
无
3
4
服务器隔离,上
2
5
传文件扫描
签订保密协议
2
4
进行员工信息
安全计划的培
2
2
训
信息资产风险评估
风险值 48 12
风险处置计划
风险等级 风险处 控制措施建议 置方式
责任人
按照《用户访问控
5
降低 制程序》的要求， 张小波
对笔记本电脑进行
基本加密管理
2
14
2
按《供应商管理办
27
3
降低 法》的要求定期对
效性评价。 按照《文件控制程
序》的要求，对公
36
4
降低 司资质、证照的使 张小波
用进行审批登记管
理 按照《用户访问控
40
4
降低 制程序》的要求， 张小波
对笔记本电脑进行
基本加密管理 按照《信息系统防
40
4
降低 病毒管理程序》的
张小波
要求，定期进行病
毒查杀管理。 按《供应商管理办
27
3
降低 法》的要求定期对
汪倩 2019.11.17
2
2019.11.16 已完成
汪倩 2019.11.17
2
信息安全风险评估脆弱性识别路由器脆弱性表格GBT18018
审计---潜在侵害分析
路由器应能监控可审计行为，并指出潜在的侵害。路由器应在检测到可能有安全侵害发生时做出响应，如：通知管理员，向管理员提供一组遏制侵害的或采取矫正的行动。
简单网络管理协议的保护
路由器应支持SNMP V3。路由器可通过设置SNMP Community参数，采用访问控制列表（ACL）保护SNMP访问权限。路由器应支持对SNMP访问的认证功能，能够监测并阻断对管理信息模块（MIB）的非授权访问，能够防范对于SNMP的拒绝服务攻击。SNMP认证失败时，路由器应向陷阱消息接收工作站发送认证失败消息。
c)开发者应提供路由器安全功能的低层设计。低层设计应以模块术语描述安全功能，并描述每一个模块的目的、接口和相互间的关系。低层设计还应描述如何将路由器中有助于增强安全策略的模块分离出来；
身份鉴别---登录历史
路由器应具有登录历史功能，为登录人员提供系统登录活动的有关信息，使登录人员识别入侵的企
图。成功通过鉴别并登录系统后，路由器应显示如下数据：
——日期、时间、来源和上次成功登录系统的情况；
——上次成功登录系统以来身份鉴别失败的情况；
——口令距失效日期的天数。
数据保护
路由器应具有数据完整性功能，对系统中的信息采取有效措施，防止其遭受非授权人员的修改、破坏和删除。
b)与一般的安装和配置有关的功能的管理；
c)路由器的安全配置参数要有初始值。路由器安装后，安全功能应能及时提醒管理员修改配置，并能周期性地提醒管理员维护配置。
审计---审计数据生成
路由器应具有审计功能，至少能够审计以下行为：
信息安全风险评估报告20836
XXXXX公司信息安全风险评估报告历史版本编制、审核、批准、发布实施、分发信息记录表风险项目综述企业名称: XXXXX公司企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与服务的企业。
ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。
ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。
风险评估目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。
风险评估日期：2017-9-10至2017-9-15评估小组成员XXXXXXX。
评估方法综述首先由信息安全管理小组牵头组建风险评估小组；通过咨询公司对风险评估小组进行相关培训；根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方法；各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产清单；对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级；根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A 制定相关的风险控制措施；对于可接受的剩余风险向公司领导汇报并得到批准。
风险评估概况根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从20xx年9月10日开始进入风险评估阶段，到20xx年9月15日止基本工作告一段落。
主要工作过程如下：2017-9-10 ~ 2017-9-10，风险评估培训；2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法；2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类；2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在风险，并在ISMS工作组内审核；2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表；6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作组组织审核，并最终汇总形成本报告。
信息资产威胁和脆弱性对应表
信息资产威胁和脆弱性对应表编号威胁脆弱性1地震位于地震带，建筑物抗震结构差 位于地震带，建筑物抗震结构一般 无备份文件和系统2火灾位于活在易发地区，资产易燃 位于活在易发地区，资产不易燃 位于火灾不易发生地区，资产易燃 无备份文件和系统 位于林区时周围无隔离带3水灾位于水灾易发地区，资产易受潮 位于水灾易发地区，资产不易受潮 位于水灾不易发地区，资产易受潮 无备份文件和系统4暴风雨位于暴风雨易发地区，资产易受水害 位于暴风雨易发地区，资产不易受潮 位于暴风雨不易发地区，资产易受潮 无备份文件和系统5潮汐位于潮汐易发地区，资产易遭水害 位于潮汐易发地区，资产不易遭水害 位于潮汐不易发地区，资产易遭水害 无备份文件和系统6污染位于污染严重地区，设备易受污染 位于污染严重地区，设备不易受污染 位于污染不严重地区，设备易受污染 位于污染不严重地区，设备不易受污染7电子干扰位于强电子干扰地区，设备易受电子干扰 位于强电子干扰地区，设备不易受电子干扰 位于若电子干扰地区，设备易受电子干扰8电磁辐射位于电子辐射严重的环境，设备易受电子辐射影响 位于电子辐射严重的环境，设备不易受电子辐射影响 位于电子辐射的环境，设备易受电子辐射的影响9温度过度位于温度易于过度的区域，资产易受温度影响 位于温度易于过度的区域，资产不易受温度影响 位于温度不易过度的区域，资产易受温度影响 环境监控不当10湿度过度位于湿度易于过度的区域，资产易受潮 位于湿度易于过度的区域，资产不易受潮 位于湿度不易过度的区域，资产易受潮 环境监控不当11电力供应故障环境易断电，断电后造成轻微损失 环境易断电，断电后造成严重损失 环境不易断电，断电后造成轻微损失 环境不易断电，断电后造成严重损失12空调设备故障位于温度易于过度的区域，资产易受温度影响 位于温度易于过度的区域，资产不易受温度影响 位于温度不易过度的区域，资产易受温度影响13电力波动易受电压波动影响，已造成严重损失 轻微受电压波动影响，易造成严重损失 易受电压波动影响，不易造成严重损失14静电位于易产生静电环境，资产易受静电破坏 位于易产生静电环境，资产不易受静电破坏 位于不易产生静电环境，资产易受静电破坏 工作人员无资产维护意识，没有维护常识 工作人员有资产维护意识，没有维护常识 工作人员无资产维护意识，有维护常识 无防静电设备 环境监控不当15偷盗建筑或房屋无访问控制 建筑或房屋弱访问控制 缺乏物理安全措施16诈骗工作人员无信息保护意识 工作人员无法律意识 工作人员法律意识弱 不易辨认身份的真伪 信息不易辨认真伪17勒索工作人员注重个人利益18恐怖分子袭击缺乏物理安全措施19抵赖不易辨认身份的真伪 信息不易辨认真伪 未标识发送者和接收者 无消息发送和接受证据20罢工无业务连续性规划和流程 无劳工协议21窃听设备本身缺乏信息保护功能 采用共享式以太技术导致信息在本地广播 通讯未加密22窃取信息工作人员无信息保护意识 工作人员注重个人利益 工作人员无法律意识 工作人员法律意识弱 工作人员无防病毒意识 工作人员防病毒意识弱23破坏性攻击操作系统存在漏洞 应用软件存在漏洞 未使用防火墙 防火墙策略不当 不恰当的网络管理24拒绝服务攻击操作系统存在漏洞 应用软件存在漏洞 未使用防火墙 防火墙策略不当 不恰当的网络管理25恶意代码系统易受病毒感染 系统不易受病毒感染 未使用杀毒软件 未及时更新病毒防杀软件 缺乏入侵检测软件 对从Internet上下载和安装软件控制不当 缺乏打开邮件的附件的策略 缺乏对不扫描病毒使用软盘行为的控制策略26通讯渗透设备本身缺乏信息保护功能 不易辨认身份的真伪 采用共享式以太技术导致信息在本地广播 缺乏物理安全措施 未标识发送者和接收者 无消息发送和接受证据 缺乏入侵检测软件27流量分析设备本身缺乏信息保护功能 不易辨认身份的真伪 采用共享式以太技术导致信息在本地广播 缺乏物理安全措施 未标识发送者和接收者 无消息发送和接受证据 缺乏入侵检测软件28系统入侵工作人员无信息保护意识 弱密码管理 软件无身份验证机制 软件采用弱身份验证机制 系统易受病毒感染 系统不易受病毒感染 不易辨认身份的真伪 信息不易辨认真伪 无逻辑访问控制29系统渗透工作人员无信息保护意识 弱密码管理 软件无身份验证机制 软件采用弱身份验证机制 系统易受病毒感染 系统不易受病毒感染 不易辨认身份的真伪 信息不易辨认真伪 无逻辑访问控制30系统篡改弱密码管理 软件无身份验证机制 软件采用弱身份验证机制 操作系统存在漏洞 应用软件存在漏洞 无备份系统设置信息 缺乏物理安全措施31资源滥用数据未加密 软件无复制限制 软件无安装次数限制 无软件使用控制 无数据访问控制32对软件的非法更改无劳工协议 无软件更新控制 无软件使用控制33软件的非法输入输出工作人员操作不熟练 软件无合法数据验证机制 无软件使用控制34未授权的数据访问采用共享式以太技术导致信息在本地广播 缺乏物理安全措施 通讯未加密35未授权的拨号访问拨号进入网络不受限 拨号进入网络弱管理 缺乏物理安全措施36未授权使用存储介质无数据访问控制 无硬件访问控制 缺乏物理安全措施37web站点入侵操作系统存在漏洞 应用软件存在漏洞 未使用防火墙 防火墙策略不当 缺乏入侵检测软件38内部员工蓄意破坏资产易遭破坏 建筑或房屋无访问控制 建筑或房屋弱访问控制 工作人员注重个人利益 工作人员无法律意识 工作人员法律意识弱 缺乏物理安全措施39未授权人员引用或带出数据建筑或房屋无访问控制 建筑或房屋弱访问控制 工作人员注重个人利益 工作人员无法律意识 工作人员法律意识弱 无数据访问控制 无硬件访问控制40内部人员身份假冒工作人员无法律意识 工作人员弱法律意识 弱密码管理 不易辨认身份的真伪41内部人员出卖个人信息工作人员注重个人利益 工作人员无法律意识 工作人员法律意识弱 数据中心无物理安全措施 数据中心弱物理安全措施 无劳工协议，竞业禁止等保密要求42外包操作失败无业务一致性计划和流程 无文件和系统备份 外包协议中责任不清43关键人员缺席无候选关键人44软件运行错误工作人员操作不熟练 操作系统存在漏洞 应用软件存在漏洞45软件的操作失误工作人员操作不熟练 无软件使用控制46软件设计错误软件开发标准不当 没有良好的员工沟通47错误信息输入工作人员操作不熟练 软件无合法数据验证机制48提供给操作人员错误的指南信息文件匮乏 文档管理混乱49软件维护失误工作人员无资产维护意识，没有维护常识 工作人员有资产维护意识，没有维护常识 工作人员无资产维护意识，有维护常识 无软件更新控制50硬件的操作失误工作人员操作不熟练 设备易损坏 无硬件访问控制 缺乏物理安全措施51存储介质的故障建筑或房屋无访问控制 建筑或房屋弱访问控制 设备易损坏 缺乏物理安全措施52网络部件的技术故障工作人员无资产维护意识，没有维护常识 工作人员有资产维护意识，没有维护常识 工作人员无资产维护意识，有维护常识 缺乏物理安全措施53通讯服务故障无备份设施和流程 不恰当的网络管理 不恰当的事件处理54流量过载无备份设施和流程 不恰当的网络管理 不恰当的事件处理55硬件维护失误工作人员无资产维护意识，没有维护常识 工作人员有资产维护意识，没有维护常识 工作人员无资产维护意识，有维护常识 缺乏物理安全措施51内部人员信息丢失工作人员无信息保护意识人事管理制度、保密协议不完善52管理运营职工失误企业无安全问题解决能力 企业安全问题解决能力弱53人员匮乏人力资源部门和信息技术部门间缺乏沟通54用户失误用户操作不熟练55供应故障操作系统存在漏洞 应用软件存在漏洞56保养不当工作人员无资产维护意识，没有维护常识 工作人员有资产维护意识，没有维护常识 工作人员无资产维护意识，有维护常识。
信息安全的信息资产、威胁与脆弱性分类讲解学习
源程序：各种共享源代码、自行或合作开发的各种代码等
硬件
网络设备：路由器、网关、交换机等
计算机设备：大型机、小型机、服务器、工作站、台式计算机、便携计算机等
存储设备：磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等
传输线路：光纤、双绞线等
保障设备：UPS、变电设备、空调、保险柜、文件柜、门禁、消防设施等
补丁安装、物理保护、用户帐号、口令策略、资源共享、事件审计、访问控制、新系统配置（初始化）、注册表加固、网络安全、系统软件安全漏洞、软件安全功能管理等
数据库
补丁安装、鉴别机制、口令机制、访问控制、网络和服务设置、备份恢复机制、审计机制等
应用系统
审计机制、审计存储、访问控制策略、数据完整性、通讯、鉴别机制、密码保护等
其他
企业形象、客户关系等
A.2
威胁分类见表E.2。
表E.2威胁分类
种类
描述
威胁子类
软硬件故障
对业务实施或系统运行产生影响的设备硬件故障、通讯链路中断、系统本身或软件缺陷等问题
设备硬件故障、传输设备故障、存储媒体故障、系统软件故障、应用软件故障、数据库软件故障、开发环境故障等
物理环境影响
对信息系统正常运行造成影响的物理环境问题和自然灾害
恶意代码
故意在计算机系统上执行恶意任务的程序代码
病毒、特洛伊木马、蠕虫、陷门、间谍软件、窃听软件、携带恶意软件的垃圾邮件、流氓安全软件、即时消息垃圾邮件等
越权或滥用
通过采用一些措施，超越自己的权限访问了本来无权访问的资源，或者滥用自己的权限，做出破坏信息系统的行为
非授权访问网络资源、非授权访问系统资源、滥用权限非正常修改系统配置或数据、滥用权限泄露秘密信息、非授权使用存储介质等
ISO27001：2013信息安全风险评估表(含附属全套表单)
资产的类型、所处位置相同，但资产赋值不同时，若采取的控制措施相 同，威胁及脆弱性的赋值基本保持一致。 3.残余风险赋值原则
如果风险可接受，暂不采取除现有控制措施以外的控制措施时，残余风 险与风险值一致。
在对资产进行CIA赋值时，需注意以下内容： 1.一般情况下，软件、硬件更多的是考虑可用性，保密性、完整性的赋值 可以为1。 2.如果有些数据无法细分，可按照就高原则给出总体评分。 3.一般情况下，人员、服务的保密性、完整性无法衡量，更多的是考虑可 用性，保密性、完整性赋值可以为1。 风险评估过程应遵从以下原则： 1.合并同类项原则
信息安全风险评估清单
编 号1 步骤1-业务影响分析
2 步骤2-资产清单 3 步骤3-风险清单 4 步骤4-风险处置计划
文档目的业务影响分析和排序 。各信息系统及关键活动所包含的资产清单及资产价值统计 。资产所面临的风险清单和风险计算结果，及相对应的残余 风险。 针对已决定进行处理的风险制定的详细的处理计划。
5 6 7
附录1-赋值说明
本文档使用过程中进行赋值的参考说明。
附录2-威胁、脆弱性对照表 附录3-风险等级对照表
按照资产类别排序的威胁、脆弱性对照表，用于资产风险 风识险别计。算结果对应风险等级的参照表，用于确定风险级别 。
资产识别 资产赋值 风险评估
注意事项
信息系统包含的资产主要指与信息系统直接相关的资产，如 信息：信息系统上传输的数据、信息系统的设计开发文档 软件：信息系统正常运行所需的应用、中间件、数据库、操作系统等 硬件：信息系统正常运行所需的服务器、小型机、磁盘柜等 关键活动包含的资产主要指活动进行所必须的6类资产，如 硬件：各部门用于存储、处理、传输日常办公及客户信息的各种设备和介 质，例 如移动硬盘、台式机、计算机等。 软件：各种本部门安装使用的软件，包括操作系统、中间件、数据库、应 用软件、工具应用软件、终端安全软件等。 信息：括各种业务相关的电子类及纸质的文件资料，可按照部门现有文件 明细列举。 人员：本部门各种对信息资产进行使用、操作和支持的人员角色，含为部 门提供各种服务的外部人员（例如长期驻场外包人员）。 物理环境：承载硬件资产和信息资产的设施。非计算机硬件类的实体。 服务：各种本部门通过购买方式获取的，或者需要支持部门特别提供的， 支持或协助日常业务进行的服务。
网络信息安全管理之资产、脆弱性、威胁、风险
⽹络信息安全管理之资产、脆弱性、威胁、风险⽹络信息安全管理是指对⽹络资产采取合适的安全措施，以确保⽹络资产的可⽤性、完整性、可控制性和抗抵赖性，不致因⽹络设备、⽹络通信协议、⽹络服务、⽹络管理受到⼈为和⾃然因素的危害，⽽导致⽹络中断、信息泄露或破坏。
⽹络信息管理对象主要包括⽹络设备、⽹络通信协议、⽹络操作系统、⽹络服务、安全⽹络管理等在内的所有⽀持⽹络系统运⾏的软、硬件总和。
⽹络信息安全管理的⽬标就是通过适当的安全防范措施，保障⽹络的运⾏安全和信息安全，满⾜⽹上业务开展的安全要求。
⽹络信息安全管理要素由⽹络管理对象、⽹络威胁、⽹络脆弱性、⽹络风险、⽹络保护措施组成。
由于⽹络管理对象⾃⾝的脆弱性，使得威胁的发⽣成为可能，从⽽造成了不同的影响，形成了风险。
⽹络安全管理实际上就是风险控制，其基本过程是通过⽹络管理对象的威胁和脆弱性进⾏分析，确定⽹络管理对象的价值、⽹络管理对象威胁发⽣的可能性、⽹络管理对象的脆弱程度，从⽽确定⽹络管理对象的风险等级，然后据此选取合适的安全保护措施，降低⽹络管理对象的风险。
安全风险管理的三要素分别是资产、威胁和脆弱性，脆弱性的存在将会导致风险，⽽威胁主体利⽤脆弱性产⽣风险。
⽹络攻击主要利⽤了系统的脆弱性。
由于⽹络管理对象⾃⾝的脆弱性，使得威胁的发⽣成为可能，从⽽造成了不同的影响，形成了风险。
⽹络信息安全管理对象是企业、机构直接赋予了价值⽽需要保护的资产。
它的存在形式包括有形的和⽆形的，如⽹络设备硬件、软件⽂档是有形的，⽽服务质量、⽹络带宽是⽆形的。
常见的⽹络信息安全管理对象信息安全资产分类如下：分类⽰例数据保存在信息媒介上的各种数据资料，包括源代码、数据库数据、系统⽂档、运⾏管理规程、计划报告、⽤户⼿册、各类纸质的⽂档等软件系统软件：操作系统、数据库管理系统、语句包、开发系统等应⽤软件：办公软件、数据库软件、各类⼯具软件等源程序：各种共享源代码、⾃⾏或合作开发的各种代码等硬件⽹络设备：路由器、⽹关、交换机等计算机设备：⼤型机、⼩型机、服务器、⼯作站、台式计算机、便携计算机等存储设备：磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等传输线路：光纤、双绞线等保障设备：UPS、变电设备、空调、保险柜、⽂件柜、门禁、消防设施等安全设备：防⽕墙、⼊侵检测系统、⾝份鉴别等其他：打印机、复印机、扫描仪、传真机等服务信息服务：对外依赖该系统开展的各类服务⽹络服务：各种⽹络设备、设施提供的⽹络连接服务办公服务：为提⾼效率⽽开发的管理信息系统，包括各种内部配置管理、⽂件流转管理等服务⼈员掌握重要信息和核⼼业务的⼈员，如主机维护主管、⽹络维护主管及应⽤项⽬经理等其他企业形象、客户关系等脆弱性：脆弱性也可称为弱点或漏洞，是资产或资产组中存在的可能被威胁利⽤造成损害的薄弱环节。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
风险处理计划
序号
资产名称
风险
风险处理选项
风险处理措施
责任人
计划完成时间
1
台式机
（网关/SVN服务器）
台式机
（Bugzilla/FTP/Web服务器）
机架式服务器（Mail服务器）
操作系统补丁未及时安装
降低
实施定期升级补丁
物理访问控制欠缺
安装机房门禁系统
2
台式机（oracle服务器）
重要资产面临的信息安全脆弱性汇总表
表2-1重要资产脆弱性汇总表
序号
资产名称
脆弱性名称
1
台式机（FTP/Web服务器）
台式机（网关/SVN服务器）
台式机（Trac服务器）
安装与维护缺乏管理
操作系统补丁未及时安装
操作系统存在弱口令
操作系统的口令策略没有启用
操作系统的帐户锁定策略没有启用
操作系统开放多余服务
缺少电磁防护
物理访问控制欠缺
设备性能不足
2
机架式服务器（Mail服务器）
安装与维护缺乏管理
操作系统补丁未及时安装
操作系统存在弱口令
操作系统的口令策略没有启用
操作系统的帐户锁定策略没有启用
操作系统开放多余服务
缺少电磁防护
物理访问控制欠缺
3
笔记本电脑
笔记本电脑
操作系统补丁未安装
操作系统开放多余服务
操作系统存在弱口令
10
机房管理员
没有适当的奖惩规则
没有正式的保密协议
11
服务器管理员
没有适当的奖惩规则
没有正式的保密协议
12
总务经理
没有适当的奖惩规则
没有正式的保密协议
附件：风险处理计划
根据本次风险评估结果，对不可接受的风险进行处理。在选取控制措施和方法时ห้องสมุดไป่ตู้结合公司的财力、物力和资产的重要度等各种因素，制定如下风险处理计划。
操作系统的口令策略没有启用
病毒码无法自动更新
操作系统的帐户锁定策略没有启用
4
台式机
操作系统补丁未安装
病毒码无法自动更新
操作系统开放多余服务
5
SVN业务系统
未设置用户登录失败门限与超过门限后的处理措施
无法保证用户使用的口令达到一定的质量要求
无法检测存储的重要信息、数据是否出现完整性错误
重要信息、数据无加密措施，以明文传输
6
Iptables防火墙系统
安全保障设备的其它配置不当
安装与维护缺乏管理
缺少操作规程和职责管理
未启用日志功能
7
项目开发资料
没有访问控制策略或未实施
信息资产没有清晰的分类标志
8
项目开发文件
没有访问控制策略或未实施
信息资产没有清晰的分类标志
9
总务相关资料
没有访问控制策略或未实施
信息资产没有清晰的分类标志
设备性能不足
重新分配台式机的服务器功能;优化系统配置
操作系统补丁未及时安装
实施定期升级补丁
物理访问控制欠缺
机械锁
安装机房门禁系统
3
笔记本电脑(XXX)
笔记本电脑(XXX)
台式机(XXX)
病毒码无法自动更新
升级系统防毒软件