文档介绍：风险评估
(模板)
目录
一、风险评估活动概述 1
风险评估工作组织管理 1
风险评估工作过程 1
依据的技术标准及相关法规文件 1
保障与限制条件 1
二、评估对象 1
评估对象构成与定级 1
网络结构 1
业务应用 1
子系统构成及定级 1
评估对象等级保护措施 2
XX子系统的等级保护措施 2
子系统N的等级保护措施 2
三、资产识别与分析 2
资产类型与赋值 2
2
2
关键资产说明 3
四、威胁识别与分析 3
威胁数据采集 3
威胁描述与分析 3
威胁源分析 3
威胁行为分析 3
威胁能量分析 3
威胁赋值 3
五、脆弱性识别与分析 4
常规脆弱性描述 4
管理脆弱性 4
网络脆弱性 4
4
4
4
4
4
4
4
4
4
4
4
4
5
脆弱性综合列表 5
六、风险分析 5
关键资产的风险计算结果 5
关键资产的风险等级 5
风险等级列表 5
风险等级统计 5
基于脆弱性的风险排名 6
风险结果分析 6
七、综合分析与评价 6
八、整改意见 6
附件1:管理措施表 7
附件2:技术措施表 8
附件3:资产类型与赋值表 10
附件4:威胁赋值表 10
附件5:脆弱性分析赋值表 11
一、风险评估活动概述
风险评估工作组织管理
描述本次风险评估工作的组织体系(含评估人员构成)、工作原则和采取的保密措施。
风险评估工作过程
工作阶段及具体工作内容.
依据的技术标准及相关法规文件
保障与限制条件
需要被评估单位提供的文档、工作条件和配合人员等必要条件,以及可能的限制条件。
二、评估对象
评估对象构成与定级
网络结构
文字描述网络构成情况、分区情况、主要功能等,提供网络拓扑图。
业务应用
文字描述评估对象所承载的业务,及其重要性。
子系统构成及定级
描述各子系统构成。根据安全等级保护定级备案结果,填写各子系统的安全保护等级定级情况表:
各子系统的定级情况表
序号
子系统名称
安全保护等级
其中业务信息安全等级
其中系统服务安全等级
评估对象等级保护措施
按照工程项目安全域划分和保护等级的定级情况,分别描述不同保护等级保护范围内的子系统各自所采取的安全保护措施,以及等级保护的测评结果。
根据需要,以下子目录按照子系统重复。
XX子系统的等级保护措施
根据等级测评结果,XX子系统的等级保护管理措施情况见附表一。
根据等级测评结果,XX子系统的等级保护技术措施情况见附表二。
子系统N的等级保护措施
三、资产识别与分析
资产类型与赋值
按照评估对象的构成,分类描述评估对象的资产构成。详细的资产分类与赋值,以附件形式附在评估报告后面,见附件3《资产类型与赋值表》。
填写《资产赋值表》。
资产赋值表
序号
资产编号
资产名称
子系统
资产重要性
关键资产说明
在分析被评估系统的资产基础上,列出对评估单位十分重要的资产,作为风险评估的重点对象,并以清单形式列出如下:
关键资产列表
资产编号
子系统名称
应用
资产重要程度权重
其他说明
四、威胁识别与分析
对威胁来源(内部/外部;主观/不可抗力等)、威胁方式、发生的可能性,威胁主体的能力水平等进行列表分析。
威胁数据采集
威胁描述与分析
依据《威胁赋值表》,对资产进行威胁源和威胁行为分析。
威胁源分析
填写《威胁源分析表》。
威胁行为分析
填写《威胁行为分析表》。
威胁能量分析
威胁赋值
填写《威胁赋值表》。
五、脆弱性识别与分析
按照检测对象、检测结果