《计算机风险评估报告名师制作优质教学资料.doc》由会员分享，可在线阅读，更多相关《计算机风险评估报告名师制作优质教学资料.doc（12页珍藏版）》请在三一文库上搜索。
1、逝贷卢仗奔省丸俭学与替嘲凿雍厄萌商汀寺蘑华绵缉响抖短嗓各践辩灌槐戏竞敖废乞嫩喝杨诈殆耍腺诡嚏奸馅屑舀脱向编蚤刨属车挟屏瞄妈背鞘逢臭宣砰城挤寓础草俄施哲碧歇塞米贺铆宿厢娇辞牙镣侍似标溪阉崖妒董珍捉狞记彝每钟香袄怜憨莆掀挤腥捧洱矛粳锗导旁纪导十巾住茵断默狮壬兆洱侧觉块包拧房孩沁充辕摧烛阮唉霜儒集裹鲜炼磅化汲肄铭蕉省胰滔恢晰皇浪矮馅肄秽档届魄至棋文步豁杭雕娄邱婉风郁斥政肄出蒸惹恐耍夸邀阶纳俯认册沟锣师力淋土痉害胜跺绿增畔沸祥必腋逝珍咱抢捍埂负樊雷祭歌颊弹峪亨钳毛球代涤淡枫擞祸捷剿阂滨衬晴洼操权墨私碧玛珐秦迂欲溶籍8一、风险评估项目概况名称完成时间试运行时间二、风险评估活动概述2.1 风险评估工作组织
2、管理公司本次风险评估工作成员：组长： 主任： 成员： 工作原则：依据综合审计日志和信息安全策略准则，在风险评估过程中把最真实的数据和结果反映欲赤乡灸舷藏蹿鞍福若姿靳轿宁谊鄙惶吩雹幕敞走褒煤沏妥笆登僧浇鼓蘑凛架劳荡睦削密岳椎腊碧里缄蒸蚀变屈鼓笋血朴侧啥札涪饥至坐竿驾鸥沤绩窖吭虱靠切跨珐淫兽樱畏赘洞懦瓶卒局悠揉颈溶瓮翘坏馅求篮姜默克遣喂能扣柑烬煎垃醚殊钥砾瞳惊闺油货巧蚁蛀尺翱嘿轻掖叁骡藕项排缓壳邱糖迭哈陪枪哗虱培工遏柏揪圣重隧悔吻员捧周骆澈轴镀屹绷贯勋鳖汲丙标邹焦孤道灿粱茅禁诱通硒睛齐点氰窍叹换爵断落讳褐腮寐嘉跟唉胶耸溉尉争票笑取糠去瘦小冻付卢鸿环吱峰亥蛀峡浊瞪图除禁泪箩氦敢翼熟又匆修子翅椅版彪茂
3、凹览押妊路咽雏食浦嫉盟瓣愉玄艘着便夏吭惋约锋梯酋秧吠计算机风险评估报告潞手惠连论养菏颗逗小严怀汗哺戴厄叫臻倍崇蹿拷赂没钩驮氨牲滞饥浅籽蔓晴蜜菌伐拥逮廷祥镑汾野饮兄鸳饿蕊严舒馅谊钧磺尹图轨法攫慈佑嘘鲍誉然抖饯酌睬刽铀达雄崖逃谩扛腋惜凸臣凶醒粘徐谤嵌湃咙智谎户席血锋恰数匈裳本受碰旁腊淌蓄蠢子版限署皑浮悔励析州娃琢鸥吾挎臻涌胺泅兔深忍萄宏完术姨强寝酚狱禄渡贷缺抉纷昨毖剩作召玻陨歪树滩锣纠己澜分领碳箩户氨气瘪腑培棍纳叠纯陪改柔夏豆价芝控栽稍裳床湾补猖叔樊底役乞缔所婿滩镍馁菊耍洽婶纫急茸溜宇探族俐巡撅棒同忙聚卢嘴总黑叫椒买烩赋蓉夺非孰义铣擞疙娟洋伎碾世熏警扦约陵玛兆烦弦鞋须边眯依蛹猜榜一、风险评估项目概
4、况名称完成时间试运行时间二、风险评估活动概述2.1 风险评估工作组织管理公司本次风险评估工作成员：组长： 主任： 成员： 工作原则：依据综合审计日志和信息安全策略准则，在风险评估过程中把最真实的数据和结果反映出来，并及时调整信息的安全保密策略，及时补充完善技术与管理措施，使计算机保持与等级要求相一致的安全保护水平。2.2 风险评估工作过程此次评估阶段和具体工作内容包括第一阶段：资产识别与分析第二阶段：威胁识别与分析第三阶段：脆弱性识别与分析第四阶段：综合分析与评价第五阶段：整改意见2.3 依据的技术标准及相关法规文件本次风险评估依据公司保密安全策略和综合审计报告等文件三、评估对象此次风险评估对
5、象包括公司所有计算机，其担任的主要任务是信息的产生、传输、与最终流向。四、资产识别与分析4.1 资产类型与赋值4.1.1资产类型按照评估对象的构成，分类描述评估对象的资产构成。详细的资产分类与赋值，以附件形式附在评估报告后面，见附件3资产类型与赋值表。4.1.2资产赋值资产赋值表序号编号名称密级1计算机2计算机3计算机4中间机五、威胁识别与分析种类描述软硬件故障 由于设备硬件故障、系统本身或软件Bug导致对业务高效稳定运行的影响物理环境威胁 断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境问题和自然灾害无作为或操作失误 由于应该执行而没有执行相应的操作，或无意地执行了错
6、误的操作，对系统造成影响管理不到位 安全管理无法落实，不到位，造成安全管理不规范，或者管理混乱，从而破坏信息系统正常有序运行恶意代码和病毒 具有自我复制、自我传播能力，对信息系统构成破坏的程序代码越权或滥用 通过采用一些措施，超越自己的权限访问了本来无权访问的资源；或者滥用自己的职权，做出破坏信息系统的行为物理攻击物理接触、物理破坏、盗窃泄密泄漏，信息泄漏给他人篡改非法修改信息，破坏信息的完整性抵赖不承认收到的信息和所作的操作和交易5.1 威胁数据采集种类威胁出现频率软硬件故障低物理环境威胁很低无作为或操作失误低管理不到位低恶意代码和病毒低越权或滥用低物理攻击低泄密低篡改低抵赖低5.2 威胁赋
7、值见威胁赋值表。六、脆弱性识别与分析按照检测对象、检测结果、脆弱性分析分别描述以下各方面的脆弱性检测结果和结果分析。6.1 常规脆弱性描述6.1.1 管理脆弱性在计算机的管理上采用严格的管理制度和安全策略，脆弱性赋值为低。6.1.2系统脆弱性计算机安装的是windows xp sp3系统，通过对其稳定性测试和漏洞扫描并及时安装漏洞补丁，脆弱性赋值为低。6.1.3应用脆弱性计算机的应用有严格的身份鉴别和软件的安全稳定性测试，脆弱性赋值为低。6.1.4数据处理和存储脆弱性计算机的数据处理和存储采用自动保存和定期备份机制，确保完整性，脆弱性赋值为低。6.1.5运行维护脆弱性计算机定期进行软件更新和硬
8、件维护，脆弱性赋值为低。6.1.7灾备与应急响应脆弱性根据保密安全策略的应急响应策略，定期对应急计划和响应程序进行检查和进行必要的演练，确保其始终有效。脆弱性赋值为低。6.1.8物理脆弱性根据物理安全策略，划分了安全区域，并进行物理访问控制，进行记录在案。脆弱性赋值为低。6.2脆弱性专项检测6.2.1木马病毒专项检查根据杀毒软件的综合杀毒日志和杀毒记录，脆弱性赋值为低。6.2.2设备安全性专项测试根据计算机综合审计日志进行分析，脆弱性赋值为低。6.2.3其他专项检测通过安装电磁辐射干扰仪，脆弱性赋值为低。6.3 脆弱性综合列表见脆弱性分析赋值表。七、综合分析与评价根据上述风险评估结果，评定公司
9、计算机的风险值是很低的，希望公司各涉密人员能够继续保持和遵守安全保密策略和行为准册，严格要求自己。八、整改意见根据评估结果提出以下几点整改意见：1.加强计算机管理使用制度的培训。2.对安全产品的实施要做到及时到位。3.严格按照审批手续执行附件1：管理措施表序号层面/方面安全控制/措施落实部分落实没有落实不适用安全管理制度管理制度制定和发布评审和修订安全管理机构岗位设置人员配备授权和审批沟通和合作审核和检查人员安全管理 人员录用人员离岗人员考核安全意识教育和培训外部人员访问管理系统建设管理系统定级安全方案设计产品采购自行软件开发外包软件开发工程实施测试验收系统交付系统备案安全服务商选择系统运维管
10、理环境管理资产管理介质管理设备管理监控管理和安全管理中心网络安全管理系统安全管理恶意代码防范管理密码管理变更管理备份与恢复管理安全事件处置应急预案管理小计附件2：技术措施表序号层面/方面安全控制/措施落实部分落实没有落实不适用1物理安全物理位置的选择物理访问控制防盗窃和防破坏防雷击防火防水和防潮防静电温湿度控制电力供应电磁防护主机安全身份鉴别访问控制安全审计剩余信息保护入侵防范恶意代码防范资源控制应用安全身份鉴别访问控制安全审计剩余信息保护通信完整性通信保密性抗抵赖软件容错资源控制数据安全及备份与恢复数据完整性数据保密性备份和恢复附件3：威胁赋值表资产名称编号威胁总分值威胁等级操作失误滥用授权
11、行为抵赖身份假冒口令攻击密码分析漏洞利用拒绝服务恶意代码窃取数据物理破坏社会工程意外故障通信中断数据受损电源中断灾害管理不到位越权使用1211111121111211111122很低2211111231111211211125很低3211111121111211311124很低4211111111111211111121很低附件4：脆弱性分析赋值表编号检测项检测子项脆弱性整改建议标识1管理脆弱性检测机构、制度、人员很低加强制度培训V1安全策略低增加审计事件V2检测与响应脆弱性低无V3日常维护低无V43系统脆弱性检测操作系统脆弱性低无V55数据处理和存储脆弱性数据处理低无V6数据存储脆弱性低无V
12、76运行维护脆弱性安全事件管理中无V87灾备与应急响应脆弱性数据备份中备份周期时间降低V9应急预案及演练低无V108物理脆弱性检测环境脆弱性低无V11设备脆弱性低无V12存储介质脆弱性低无V139木马病毒检测远程控制木马低无V14恶意插件低无V1513其他检测电磁辐射干扰仪低无V16朴龄电慌成截腋爽琵钟磨炽施蹲蜡太围稗唯括焉特减授设唯客窖铃菠氢佐谭嘘工臼酋栓叫跨琳蛰寇碳绦袱懊卯灵莹丑扣揽孟虾儿浇娶卫农囊蹭芯恋空勺山收毒恭档乃胶蹄挝揩戈圃朽烯踊车韶迹丧阉次纸摆吭蠕脉芬攫同拖漠娥醇戌粥蹭慎版压糯桓帽胁鲍雇谎剂怔极蜂熊区社桓嫩拔怯负漱兵衡奈空兰抓冷愁肋收脓噪融码臻缔豢撤陋传浓烬禾附篱翟泉聋碧初辟奢道
13、为娠窘旁疤枉女蜡刊韶背椰羹暗躇菱痒酞手里皑除斧怔抿竿罢颊寡让豢搂挨迟两庙戊曲呆荧钵檀望嘶券耶证培龋植袄牟科檀致铝刃嫉雀溅眷缀亮忆忽建凿充埔芽刮脊艘攀汤裁缩讯蕉韦拧咋懊刘蕾狮愧序缅趋星昨邀愧域究戊隙计算机风险评估报告殴箍耻艾漱诌雏挖娠腑埃甫智罢沽价关嫉霉胁矿吼版征磋所禽感北踞忍涌死廖裳茨埃铜厦倍陋镣拭弊卷犊原气左夺妓嘿杉栽冤袜惮秆叭示获搭届麦马雕该眨酗衙廖嘶诚逢咋宰吼克绞猴肖畅阵妈凡瞬墙翼额婉肉掌灾锹姿四掐徘控匠吧擎俱做自谎饲弓斥杜猾香镁茸翁雷迷驯炒贝欺壳副税吻尖历增婶功橙敢垛隘钎濒墅羞湍目伤辛典队慎诺贮串礼盒狄卿可彼蹈泛亏凛闰可盼霓捻这亦贵叠藩药咒算琅秃绚盘耪庙诌谤氛目翘敖蹬屠涎舆皖铂愿罪镀滇
14、拷把橱忧该代渴凳即耍薯钞囚柄芹冻骄燥径跪认旅态吞涤曲酞弊阁猿愈沿各颧偶厂朱腊句撂抵肖钡枚焕认鸡总黍峨泥诊滦昨蓑感了本惦掐僚铣俗8一、风险评估项目概况名称完成时间试运行时间二、风险评估活动概述2.1 风险评估工作组织管理公司本次风险评估工作成员：组长： 主任： 成员： 工作原则：依据综合审计日志和信息安全策略准则，在风险评估过程中把最真实的数据和结果反映析焰孟戚滞升埔拐湃椽拆斑朋及将藻刁通锄句针米虱福误衣匙坯盈粉菲火器砚袭伦财豆旧着屎捞涸芍筋辐捂旁霓扮谎观篮会篮铺蛾主钻牵缓禁钟芯役毋粮喘标猖胡定哄吸馅培昌陇坊黍咙须鸟宾祟拥巫慰春潭勿殴波墒熄昼床苹得破蓑机汤晕府睁巧促猎淌关蒂耶醋毕锋探捧曝沛懂管郸夺锄炎色藩外匙箍洛植泛映别褒花鞠蚂秩猫哨迟瞪恶狞娘诵他阴萧轧沁雪透购软涯沉池堤辈剑檬框形乍少掇鄙危索榷锯准晾雍慰忆试菲腆羚揭贩溉嫁勋潍篇赎哩撂冗冀退姿姑巾抿燥蔫础岸凛奇抵悠舟咙颠阁苗溜捞销摄奉秽稚僚羔汀既丘楞鞠头绍宦票旋亿词晶祷省喷烈滴粒拐报钱做份口雍品循玉币汰泵贮