√
主机安全
身份鉴别
√
访问控制
√安全审计√Fra bibliotek剩余信息保护
√
入侵防范
√
恶意代码防范
√
资源控制
√
应用安全
身份鉴别
√
访问控制
√
安全审计
√
剩余信息保护
√
通信完整性
√
通信保密性
√
抗抵赖
√
软件容错
√
资源控制
√
数据安全及备份与恢复
数据完整性
√
数据保密性
√
备份和恢复
√
附件3：威胁赋值表
资产名称
编号
威胁
总分值
威胁等级
操作失误
风险评估工作过程
此次评估阶段和具体工作内容包括
第一阶段：资产识别与分析
第二阶段：威胁识别与分析
第三阶段：脆弱性识别与分析
第四阶段：综合分析与评价
第五阶段：整改意见
依据的技术标准及相关法规文件
本次风险评估依据公司保密安全策略和综合审计报告等文件
三、评估对象
此次风险评估对象包括公司所有计算机，其担任的主要任务是信息的产生、传输、与最终流向。
网络安全管理
√
系统安全管理
√
恶意代码防范管理
√
密码管理
√
变更管理
√
备份与恢复管理
√
安全事件处置
√
应急预案管理
√
小计
附件2：技术措施表
序号
层面/方面
安全控制/措施
落实
部分落实
没有落实
不适用
1
物理安全
物理位置的选择
√
物理访问控制
√
防盗窃和防破坏
√
防雷击
√
防火
√
防水和防潮
√
防静电
√
温湿度控制
√
电力供应
√
电磁防护
四、资产识别与分析
资产
资产类型
按照评估对象的构成，分类描述评估对象的资产构成。详细的资产分类与赋值，以附件形式附在评估报告后面，见附件3《资产类型与赋值表》。
资产赋值
资产赋值表
序号
编号
名称
密级
1
计算机
2
计算机
3
计算机
4
中间机
五、威胁识别与分析
种类
描述
软硬件故障
由于设备硬件故障、系统本身或软件Bug导致对业务高效稳定运行的影响
八
根据评估结果提出以下几点整改意见：
1.加强计算机管理使用制度的培训。
2.对安全产品的实施要做到及时到位。
3.严格按照审批手续执行
附件1：管理措施表
序号
层面/方面
安全控制/措施
落实
部分落实
没有落实
不适用
安全管理制度
管理制度
√
制定和发布
√
评审和修订
√
安全管理机构
岗位设置
√
人员配备
√
授权和审批
√
沟通和合作
计算机风险评估报告
一、风险评估项目概
名称
完成时间
试运行时间
二、风险评估活动概述
风险评估工作组织管理
公司本次风险评估工作成员：
组长：
主任：
成员：
工作原则：依据综合审计日志和信息安全策略准则，在风险评估过程中把最真实的数据和结果反映出来，并及时调整信息的安全保密策略，及时补充完善技术与管理措施，使计算机保持与等级要求相一致的安全保护水平。
滥用授权
行为抵赖
身份假冒
口令攻击
密码分析
漏洞利用
拒绝服务
恶意代码
窃取数据
物理破坏
社会工程
意外故障
通信中断
数据受损
电源中断
灾害
管理不到位
越权使用
1
2
1
1
1
1
1
1
2
1
1
1
1
2
1
1
1
1
1
1
22
很低
2
2
1
1
1
1
1
2
3
1
1
1
1
2
1
1
2
1
1
1
25
很低
3
2
1
1
1
1
1
1
2
1
1
1
1
2
1
1
3
1
1
1
24
很低
4
2
1
1
1
1
1
系统脆弱性
计算机安装的是windows xp sp3系统，通过对其稳定性测试和漏洞扫描并及时安装漏洞补丁，脆弱性赋值为低。
应用脆弱性
计算机的应用有严格的身份鉴别和软件的安全稳定性测试，脆弱性赋值为低。
数据处理和存储脆弱性
计算机的数据处理和存储采用自动保存和定期备份机制，确保完整性，脆弱性赋值为低。
运行维护脆弱性
根据杀毒软件的综合杀毒日志和杀毒记录，脆弱性赋值为低。
设备安全性专项测试
根据计算机综合审计日志进行分析，脆弱性赋值为低。
其他专项检测
通过安装电磁辐射干扰仪，脆弱性赋值为低。
脆弱性综合列表
见《脆弱性分析赋值表》。
七
根据上述风险评估结果，评定公司计算机的风险值是很低的，希望公司各涉密人员能够继续保持和遵守安全保密策略和行为准册，严格要求自己。
具有自我复制、自我传播能力，对信息系统构成破坏的程序代码
越权或滥用
通过采用一些措施，超越自己的权限访问了本来无权访问的资源；或者滥用自己的职权，做出破坏信息系统的行为
物理攻击
物理接触、物理破坏、盗窃
泄密
泄漏，信息泄漏给他人
篡改
非法修改信息，破坏信息的完整性
抵赖
不承认收到的信息和所作的操作和交易
威胁数据采集
物理环境威胁
断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境问题和自然灾害
无作为或操作失误
由于应该执行而没有执行相应的操作，或无意地执行了错误的操作，对系统造成影响
管理不到位
安全管理无法落实，不到位，造成安全管理不规范，或者管理混乱，从而破坏信息系统正常有序运行
恶意代码和病毒
√
审核和检查
√
人员安全管理
人员录用
√
人员离岗
√
人员考核
√
安全意识教育和培训
√
外部人员访问管理
√
系统建设管理
系统定级
√
安全方案设计
√
产品采购
√
自行软件开发
√
外包软件开发
√
工程实施
√
测试验收
√
系统交付
√
系统备案
√
安全服务商选择
√
系统运维管理
环境管理
√
资产管理
√
介质管理
√
设备管理
√
监控管理和安全管理中心
√
计算机定期进行软件更新和硬件维护，脆弱性赋值为低。
灾备与应急响应脆弱性
根据保密安全策略的应急响应策略，定期对应急计划和响应程序进行检查和进行必要的演练，确保其始终有效。脆弱性赋值为低。
物理脆弱性
根据物理安全策略，划分了安全区域，并进行物理访问控制，进行记录在案。脆弱性赋值为低。
脆弱性专项检测
木马病毒专项检查
种类
威胁出现频率
软硬件故障
低
物理环境威胁
很低
无作为或操作失误
低
管理不到位
低
恶意代码和病毒
低
越权或滥用
低
物理攻击
低
泄密
低
篡改
低
抵赖
低
威胁赋值
见《威胁赋值表》。
六、脆弱性识别与分析
按照检测对象、检测结果、脆弱性分析分别描述以下各方面的脆弱性检测结果和结果分析。
常规脆弱性
管理脆弱性
在计算机的管理上采用严格的管理制度和安全策略，脆弱性赋值为低。
中
无
7
灾备与应急响应脆弱性
数据备份
中
备份周期时间降低
应急预案及演练
低
无
8
物理脆弱性检测
环境脆弱性
低
无
设备脆弱性
低
无
存储介质脆弱性
低
无
9
木马病毒检测
远程控制木马
低
无
恶意插件
低
无
13
其他检测
电磁辐射干扰仪
低
无
1
1
1
1
1
1
2
1
1
1
1
1
1
21
很低
附件4：脆弱性分析赋值表
编号
检测项
检测子项
脆弱性
整改建议
标识
1
管理脆弱性检测
机构、制度、人员
很低
加强制度培训
安全策略
低
增加审计事件
检测与响应脆弱性
低
无
日常维护
低
无
3
系统脆弱性检测
操作系统脆弱性
低
无
5
数据处理和存储脆弱性
数据处理
低
无
数据存储脆弱性
低
无
6
运行维护脆弱性
安全事件管理