文档介绍：XX系统运维服务项目
信息安全风险评估报告
文件编号：
当前版本：
编制：
审批：
生效日期：
信息安全风险评估报告
一、风险评估目的
针对公司为客户提供IT服务过程中的可能存在的风险进行评估，并采取必要XX系统运维服务项目
信息安全风险评估报告
文件编号：
当前版本：
编制：
审批：
生效日期：
信息安全风险评估报告
一、风险评估目的
针对公司为客户提供IT服务过程中的可能存在的风险进行评估，并采取必要的措施，保证满足客户需求和公司的信息安全方针和目标。
二、风险评估日期
20XX-X-X
三、评估小组成员
XX、 XX、 XXX
四、评估方法
本次信息安全风险评估采用定量的方法对资产进行识别，并对资产自身价值、信息类别、保密性、完整性、可用性、法律法规合同及其它要求的符合性方面进行分类赋值，综合考虑资产在自身价值、保密性、完整性、可用性和法律法规合同上的达成程度，在此基础上得出综合结果，根据制定的重要资产评价准则，确定重要资产。
对信息资产的威胁及薄弱点进行识别，并对威胁利用薄弱点发生安全事件的可能性，以及在资产自身价值、保密性、完整性、可用性、法律法规合同的符合性方面的潜在影响，并考虑现有的控制措施，进行赋值分析，确定风险等级和接受程度。
资产（Asset）是组织要保护的资产，它包括硬件、软件、系统、数据、文档、服务、人力资源等。
威胁（Threat）是指可能对资产或组织造成损害的事故的潜在原因。它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。
薄弱点（Vulnerability）是指资产或资产组中能被威胁利用的弱点。它们不直接对资产造成危害，但薄弱点可能被环境中的威胁所利用从而危害资产的安全。
风险（Risk）是特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害的潜在可能性，即特定威胁事件发生的可能性与后果的结合。资产、威胁、薄弱点及控制的任何变化都可能带来风险的变化，因此，为了降低安全风险，应对环境或系统的变化进行监视以便及时采取有效措施加以控制或防范。
控制措施（Controls）是阻止威胁、降低风险、控制事故影响、检测事故及实施恢
复的一系列实践、程序或机制。
在风险计算时，考虑了资产的重要程度，威胁利用薄弱点导致安全事件发生的可能性，安全事件一旦发生对资产的影响程度，以及已采取控制措施的有效性。根据所计算的风险值确定风险等级，并对所有风险计算结果进行等级处理。
综合考虑风险控制成本与风险造成的影响，制定了风险接受准则。对可接受风险，保持已有的安全措施；对不可接受风险，则采取安全措施以降低、控制风险。
五、评估过程
在项目工程部的组织下，成立了本次风险评估小组，编制了风险评估计划。通过对各部门内审员的阶段式培