风险评估报告模板.doc

文档介绍：风险评估报告模板
信息技术风险评估
年度风险评估文档记录
风险评估每年做一次，评估日期及评估人员填在下表：
评估日期 评估人员
目录
1 前言 ......
全面的 IT 系统的灵敏度评估和分类

整体 IT 系统灵敏度评级
如果数据类型的灵敏度被评为“高” ，那么在任何标准下都必须为“高”
? 高? 中? 低
IT 系统分类
如果所有的灵敏度都为 “高”，那么必须为 “灵敏”；如果是适度的， 也可认为是 “灵敏”
? 灵敏 ? 非灵敏
IT 系统的描述、图解和网络架构，包括全部的系统组件、链接系统组件
的通信链接和相关的数据通信和网络：
图 1—IT 系统边界图
描述了信息的流动往返于 IT 系统，包括输出和输入到 IT 系统和其它接口
图２—信息流程图
３ .风险识别
脆弱性识别
被识别的脆弱性：
威胁识别
被识别的威胁：
被识别的威胁列于表Ｃ
表Ｃ 威胁识别
风险识别
被识别的风险：
在表Ｄ中是脆弱性和威胁性风险识别方法
表Ｄ
脆弱性、威胁性和风险
风险
Risk of
风险总结
脆弱性
威胁性
序号
Compromise of
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
风险
威胁性
Risk of
脆弱性
风险总结
序号
Compromise of
16
17
18
19
20
21
22
23
24
25

在表 E 中是 IT 系统的现行安全控制措施与计划安全控制措施。
表 E 安全控制
现行 /
控制地方 控制措施计划
1 风险管理
IT 安全角色 & 任
务
业务影响分析
IT 系统 & 数据敏
感性分类
IT 系统详细信息
解释
风险评估
IT 安全审核
2 IT 应急计划
连续性的业务操
作计划
IT 灾难恢复 计划
IT 系统 & 数据备
份& 恢复
3 IT 系统安全维护
IT 系统强化
现行 /
控制地方 控制措施计划
IT 系统互操纵性
安全
恶意代码防卫
IT 系统开发周期的
安全性
4 合理访问控制
账户管理
密码管理
远程访问管理
5 数据保护
数据存储媒介保护
数据加密
6 设施安全
设施安全
7 个人安全措施
访问意愿 & 控制
IT 安全意识 & 培
训
合理使用
8 威胁管理措施
威胁检测
事故处理
安全监控 & 记录
9 IT 资产管理
IT 资产控制
软件许可证管理
配置管理 & 变更
控制
表 F 风险—控制—因素的相关性
风险
风险总结 控制措施的相关性 & 其它因素
序号
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

在表 G 中定义了可能性的等级
表 G

风险可能性定义
威胁出现的概率

(自然的或环境威胁

)

或威胁动机和能力

(人类威胁

)
控制的有效性

低

中

高
低
中 高 高
中
低 中 高
高
低 低 中
表 H 风险可能性等级
风险序号 风险总