文档介绍：•、风险评估项目概况
名称
完成时间
试运行时间
、风险评估活动概述

公司本次风险评估工作成员:
组长：
主任：成员：
工作原则：依据综合审计日志和信息安全策略准则，在风险评估过程中把最真实的
数据和结果反映出来，并及时调整信息的安全保密策略，及时补充完善技术与管理措施，使计算机保持与等级要求相一致的安全保护水平。

此次评估阶段和具体工作内容包括
第一阶段：资产识别与分析
第二阶段：威胁识别与分析
第三阶段：脆弱性识别与分析
第四阶段：综合分析与评价
第五阶段：整改意见

本次风险评估依据公司保密安全策略和综合审计报告等文件
三、评估对象
此次风险评估对象包括公司所有计算机，其担任的主要任务是信息的产生、传输、
与最终流向。
四、资产识别与分析

按照评估对象的构成，分类描述评估对象的资产构成。详细的资产分类与赋值，以
附件形式附在评估报告后面，见附件 3《资产类型与赋值表》。

资产赋值表
编号
名称
密级
1
计算机
2
计算机
3
计算机
4
中间机
五、威胁识别与分析
描述
n硬件故障
由于设备硬件故障、系统本身或软件 Bug导致对业务局效稳定运行
的影响
"理环境威胁
断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火
灾、地震等环境问题和自然灾害
n作为或操作失误
由于应该执行而没有执行相应的操作，或无意地执行了错误
的操作，对系统造成影响
*理不到位
安全管理无法落实，不到位，造成安全管理不规范，或者管
理混乱，从而破坏信息系统正常有序运行
，息代码和病好
具有自我复制、自我传播能力，对信息系统构成破坏的程序
代码
越权或滥用
通过采用一些措施，超越自己的权限访问了本来无权访问的
资源；或者滥用自己的职权，做出破坏信息系统的行为
物理攻击
物理接触、物理破坏、盗窃
泄密
泄漏，信息泄漏给他人
篡改
非法修改信息，破坏信息的完整性
抵赖
不承认收到的信息和所作的操作和交易
5? 1威胁数据采集
威胁出现频率
软硬件故障
低
物理环境威胁
很低
无作为或操作失误
低
管理不到位
低
恶意代码和病毒
低
越权或滥用
低
物理攻击
低
泄密
低
篡改
低
抵赖
低

见《威胁赋值表》。
六、脆弱性识别与分析
按照检测对象、检测结果、脆弱性分析分别描述以下各方面的脆弱性检测
结果和结果分析。

在计算机的管理上采用严格的管理制度和安全策略，脆弱性赋值为低。

计算机安装的是 windowsRpsp3系统，通过对其稳定性测试和漏洞扫描并及时安装漏洞补丁，脆弱性赋值
为低。

计算机的应用有严格的身份鉴别和软件的安全稳定性测试，脆弱性赋值为低。

计算机的数据处理和存储采用自动保存和定期备份机制，确保完整性，脆弱性赋值为低。

计算机定期进行软件更新和硬件维护，脆弱性赋值为低。

根据保密安全策略的应急响应策略，定期对应急计划和响应程序进行检查和进行必要的演练，确保其
始终有效。脆弱性赋值为低。

根据物理安全策略，划分了安全区域，并进行物理访问控制，进行记录在案。脆弱性赋值为低。

根据杀毒软件的综合杀毒日志和杀毒记录，脆弱性赋值为低。

根据计算机综合审计日志进行分析，脆弱性赋值为低。

通过安装电磁辐射干扰仪，脆弱性赋值为低。

见《脆弱性分析赋值表》。
七、综合分析与评价
根据上述风险评估结果，评定公司计算机的风险值是很低的，密希望公司各涉
人员能够继续保持和遵守安全保密策略和行为准册，严格要求自己
八、整改意见
根据评估结果提出以下几点整改意见：
加强计算机管理使用制度的培训。
对安全产品的实施要做到及时到位。
严格按照审批手续执行
附件1管理措施表
n号
层面/方面
安全控制/措施
落实
部分落实
没有落实
不适用
安全管理制度