1、風(fēng)險(xiǎn)評(píng)估報(bào)告模板信息技術(shù)風(fēng)險(xiǎn)評(píng)估年度風(fēng)險(xiǎn)評(píng)估文檔記錄風(fēng)險(xiǎn)評(píng)估每年做一次，評(píng)估日期及評(píng)估人員填在下表：評(píng)估日期評(píng)估人員目錄1 前言42.IT 系統(tǒng)描述53 風(fēng)險(xiǎn)識(shí)別84.控制分析105.風(fēng)險(xiǎn)可能性測(cè)定146.影響分析167.風(fēng)險(xiǎn)確定188.建議209.結(jié)果報(bào)告211.前言風(fēng)險(xiǎn)評(píng)估成員：評(píng)估成員在公司中崗位及在評(píng)估中的職務(wù)：風(fēng)險(xiǎn)評(píng)估采用的方法：表A風(fēng)險(xiǎn)分類風(fēng)險(xiǎn)水平高風(fēng)險(xiǎn)描述必要行為信息的保密性、完整性、有效性的丟失可能在組織運(yùn)作、組織資產(chǎn)或個(gè)人方面帶來(lái)嚴(yán)峻的或?yàn)?zāi)難性的不利影響。中信息的保密性、完整性、有效性的丟失可能在組織運(yùn)作、組織資產(chǎn)或個(gè)人方面帶來(lái)嚴(yán)重的不利影響。低信息的保密性、完整性、有效性的

2、丟失可能在組織運(yùn)作、組織資產(chǎn)或個(gè)人方面帶來(lái)有限的不利影響。2.IT 系統(tǒng)描述系統(tǒng)信息和定義文檔 .IT 系統(tǒng)識(shí)別和所有權(quán)IT 系統(tǒng) IDIT 系統(tǒng)通用名稱Owned By物理位置主要業(yè)務(wù)功能系統(tǒng)主 人電話號(hào)系統(tǒng)管理員電話號(hào)碼碼數(shù)據(jù)所 有者的電數(shù)據(jù)管理員電話號(hào)碼話號(hào)碼其它相關(guān)信息II. IT System Boundary and Components IT 系統(tǒng)描述和組件IT 系統(tǒng)界面IT 系統(tǒng)邊界 IT系統(tǒng)的彼此連系（按需添加附加費(fèi)）代理商 或單位名IT 系統(tǒng)名稱IT 系統(tǒng) ID IT 系統(tǒng)所有者InterconnectionSecurity稱Agreement Status全面的 IT 系

3、統(tǒng)的靈敏度評(píng)估和分類整體 IT 系統(tǒng)靈敏度評(píng)級(jí)如果數(shù)據(jù)類型的靈敏度被評(píng)為“高”，那么在任何標(biāo)準(zhǔn)下都必須為“高”高中低IT 系統(tǒng)分類如果所有的靈敏度都為 “高”，那么必須為 “靈敏”；如果是適度的， 也可認(rèn)為是 “靈敏”靈敏非靈敏IT 系統(tǒng)的描述、圖解和網(wǎng)絡(luò)架構(gòu)，包括全部的系統(tǒng)組件、鏈接系統(tǒng)組件的通信鏈接和相關(guān)的數(shù)據(jù)通信和網(wǎng)絡(luò)：圖 1IT 系統(tǒng)邊界圖描述了信息的流動(dòng)往返于IT 系統(tǒng)，包括輸出和輸入到IT 系統(tǒng)和其它接口圖信息流程圖.風(fēng)險(xiǎn)識(shí)別脆弱性識(shí)別被識(shí)別的脆弱性：威脅識(shí)別被識(shí)別的威脅：被識(shí)別的威脅列于表表威脅識(shí)別風(fēng)險(xiǎn)識(shí)別被識(shí)別的風(fēng)險(xiǎn)：在表中是脆弱性和威脅性風(fēng)險(xiǎn)識(shí)別方法表脆弱性、威脅性和風(fēng)險(xiǎn)風(fēng)險(xiǎn)

4、Risk of風(fēng)險(xiǎn)總結(jié)脆弱性威脅性序號(hào)Compromise of123456789101112131415161718192021222324254.控制分析在表 E 中是 IT 系統(tǒng)的現(xiàn)行安全控制措施與計(jì)劃安全控制措施。表 E安全控制現(xiàn)行 /控制地方控制措施計(jì)劃1 風(fēng)險(xiǎn)管理1.1 IT安全角色 & 任務(wù)1.2 業(yè)務(wù)影響分析1.3 IT系統(tǒng) & 數(shù)據(jù)敏感性分類1.4 IT系統(tǒng)詳細(xì)信息&解釋1.5 風(fēng)險(xiǎn)評(píng)估1.6 IT安全審核2 IT應(yīng)急計(jì)劃2.1 連續(xù)性的業(yè)務(wù)操作計(jì)劃2.2 IT災(zāi)難恢復(fù)計(jì)劃2.3 IT 系統(tǒng) & 數(shù)據(jù)備份&恢復(fù)3 IT系統(tǒng)安全維護(hù)3.1

5、 IT系統(tǒng)強(qiáng)化3.2 IT系統(tǒng)互操縱性安全3.3 惡意代碼防衛(wèi)3.4 IT 系統(tǒng)開(kāi)發(fā)周期的安全性4 合理訪問(wèn)控制4.1 賬戶管理現(xiàn)行 /控制地方控制措施計(jì)劃4.2 密碼管理4.3 遠(yuǎn)程訪問(wèn)管理5 數(shù)據(jù)保護(hù)4.4 數(shù)據(jù)存儲(chǔ)媒介保護(hù)4.5 數(shù)據(jù)加密6 設(shè)施安全6.1 設(shè)施安全7 個(gè)人安全措施7.1 訪問(wèn)意愿 &控制7.2 IT安全意識(shí) & 培訓(xùn)7.3 合理使用8 威脅管理措施8.1 威脅檢測(cè)8.2 事故處理8.3 安全監(jiān)控 & 記錄9 IT資產(chǎn)管理9.1 IT資產(chǎn)控制9.2 軟件許可證管理9.3 配置管理 & 變更控制表 F風(fēng)險(xiǎn)控制因素的相關(guān)性風(fēng)險(xiǎn)風(fēng)險(xiǎn)總結(jié)控制措施的

6、相關(guān)性& 其它因素序號(hào)123456789101112131415161718192021222324255.風(fēng)險(xiǎn)可能性測(cè)定在表 G 中定義了可能性的等級(jí)表 G風(fēng)險(xiǎn)可能性定義威脅出現(xiàn)的概率(自然的或環(huán)境威脅) 或威脅動(dòng)機(jī)和能力(人類威脅 )控制的有效性低中高低中高高中低中高高低低中表 H風(fēng)險(xiǎn)可能性等級(jí)風(fēng)險(xiǎn)序號(hào)風(fēng)險(xiǎn)總結(jié)風(fēng)險(xiǎn)可能性評(píng)估風(fēng)險(xiǎn)可能性等級(jí)12345678910111213141516171819風(fēng)險(xiǎn)序號(hào)風(fēng)險(xiǎn)總結(jié)風(fēng)險(xiǎn)可能性評(píng)估風(fēng)險(xiǎn)可能性等級(jí)2021222324256.影響分析表 I：評(píng)估風(fēng)險(xiǎn)影響的等級(jí)表 I風(fēng)險(xiǎn)影響的等級(jí)定義影響級(jí)別影響定義高出現(xiàn)的風(fēng)險(xiǎn) : (1)可能導(dǎo)致人類死亡或嚴(yán)

7、重的傷害; (2)可能導(dǎo)致主要的有形資產(chǎn)、資源或敏感數(shù)據(jù)的丟失；(3) 可能顯著地?fù)p害、阻礙COV 的任務(wù)、名聲或興趣 .中出現(xiàn)的風(fēng)險(xiǎn) : (1)可能導(dǎo)致人身傷害 ; (2) 可能導(dǎo)致貴重的有形資產(chǎn)或資源的丟失(3) 可能違反、損害阻礙COV 的任務(wù)、名聲或興趣 .低出現(xiàn)的風(fēng)險(xiǎn) : (1)可能導(dǎo)致一些有形的資產(chǎn)、資源的丟失(2) 可能明顯地影響阻礙COV的任務(wù)、名聲或興趣.表 J風(fēng)險(xiǎn)影響分析風(fēng)險(xiǎn)風(fēng)向總結(jié)風(fēng)險(xiǎn)影響風(fēng)險(xiǎn)影響等級(jí)序號(hào)1234567891011121314151617181920風(fēng)險(xiǎn)風(fēng)向總結(jié)風(fēng)險(xiǎn)影響風(fēng)險(xiǎn)影響等級(jí)序號(hào)2122232425用于確定影響的等級(jí)的過(guò)程描述：7.風(fēng)險(xiǎn)確定表 K：確

8、定全面的風(fēng)險(xiǎn)等級(jí)的標(biāo)準(zhǔn)表 K 總體風(fēng)險(xiǎn)評(píng)估矩陣風(fēng)險(xiǎn)影響風(fēng)險(xiǎn)可能性低中高(10)(50)(100)高低中高(1.0)10 x 1.0 = 1050 x 1.0 = 50100 x 1.0 = 100中低中中(0.5)10 x 0.5 = 550 x 0.5 = 25100 x 0.5 = 50低低低低(0.1)10 x 0.1 = 150 x 0.1 = 5100 x 0.1 = 10風(fēng)險(xiǎn)系數(shù) : 低 (1 to 10);中 (>10 to 50);高 (>50 to 100)表 L總體風(fēng)險(xiǎn)評(píng)級(jí)表風(fēng)險(xiǎn)風(fēng)險(xiǎn)總結(jié)風(fēng)險(xiǎn)可能性評(píng)級(jí)風(fēng)險(xiǎn)影響性評(píng)級(jí)總體風(fēng)險(xiǎn)評(píng)級(jí)序號(hào)123456789101112131415161718風(fēng)險(xiǎn)風(fēng)險(xiǎn)總結(jié)風(fēng)險(xiǎn)可能性評(píng)級(jí)風(fēng)險(xiǎn)影響性評(píng)級(jí)總體風(fēng)險(xiǎn)評(píng)級(jí)序號(hào)19202122232425用于確定總體風(fēng)險(xiǎn)等級(jí)的過(guò)程描述：8.建議表 M ：對(duì)表 D 中被識(shí)別的風(fēng)險(xiǎn)的建議表M 建議序號(hào)風(fēng)險(xiǎn)風(fēng)險(xiǎn)等級(jí)建議1234567891011121