信息资产风险评估报告

信息资产风险评估报告 Revised by Liu Jing on January 12, 2021

【最新资料,Word版，可自由编辑！】

明）

本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属××有限公司咨询事业部和××有限公司所有，受到有关产权及版权法保护。任何个人、机构未经××有限公司咨询事业部和××有限公司的书面授权许可，不得复制或引用本文档的任何片断，无论通过电子形式或非电子形式。

目录

文档说明

信息资产风险评估是××信息安全咨询项目的第二阶段的主要工作，××有限公司和××公司信息安全咨询项目相关人员通过信息资产分类分组、信息资产登记、信息资产组威胁和脆弱性识别、风险分析和风险评价等过程，进行了详细的信息资产安全风险评估，评估范围为总部17个部门、山东分公司和广东分公司。

本文档是信息安全风险评估阶段的交付物，目的是描述××的信息资产中存在的风险，并提出了改善建议，为下一阶段具体风险处置措施的实施打好基础。文档结构

第1章文档说明

对本文档的目的，结构，适用范围，术语等进行了定义和说明。

第2章信息安全风险评估过程

描述××信息资产风险评估的内容与步骤。

第3章信息资产风险评估结果综述

对××信息资产风险评估的结果进行分析，对重要风险提出处置建议。

第4章各部门信息资产风险评估结果

说明××总部各部门和山东、广东两个分公司的重要风险评估结果。

适用范围

本文档为内部文档，适用于××的信息安全工作相关部门的管理层以及信息安

风险评估方法

根据ISMS项目组为××所设计的风险评估方法，并结合风险评估量化参数标准，实施了详细了风险评估，具体方法请参见文档：

1)《××信息资产风险评估方法》

2)《××信息资产风险评估量化参数标准》

风险评估范围

本次信息资产风险评估是由各部门在××顾问指导下进行的自评估，风险评估组织由项目组成员和各部门的信息安全管理员和业务骨干组成。

完整的风险管理过程包括风险评估和风险处置两个主要部分，在××信息资产风险评估过程中我们完成了风险评估所涵盖的以下过程：

信息资产识别、分组；

资产和资产资产组赋值；

风险识别与分析；

风险评估；

确定风险可接受标准；

风险控制控制措施建议；

鉴于完整的风险管理过程考虑，建议××在本项目的后续阶段和信息安全管理体系的试运行和正式运行阶段完成风险控制措施的实施、控制措施的有效性测量，并建议在信息安全管理体系试运行结束后进行一次风险评估更新，详见下表：

根据项目实施计划，在各部门的大力配合下，自2008年5月中到6月底，ISMS项目组完成了对××总部17个部门和2个分公司信息资产的识别、分类分组、登记和风险评估工作，并确定的××风险可接受标准，对于超过风险可接受标准的风险，提出了控制措施建议。

确定风险数值的大小不是本次风险评估的最终目的，重要的是明确不同威胁对资产所产生的风险高低，要确定不同风险处置的优先次序，对于风险级别高的信息资产应被优先分配资源进行保护，优先进行解决。

各部门反映出的中高风险并不仅仅是该部门存在的风险，有些是××公司层面普遍存在的问题和风险。

现将本次风险评估的总体情况报告如下：

××信息资产组识别与登记

根据对××信息资产的识别与登记的统计结果，××总部和山东、广东两个分公司共有系统资产组、信息资产组、环境设施资产组、外购服务资产组、人员

××风险评估结果综述

对本次××信息资产风险评估结果进行统计，统计结果显示：高风险有164项，中风险有309项，低风险有444项，共有风险917项。

图5××信息资产风险分布图

表

主要信息资产风险和处置措施建议

在此风险评估报告中，我们将××的系统、信息、人员、环境设施、外购服务、无形资产等6大类信息资产所面临的主要风险和建议的处置措施列表如下：