信息安全風(fēng)險評估報告_4

1、信息安全風(fēng)險評估報告xxxxx公司信息安全風(fēng)險評估報告歷史版本編制、審核、批準(zhǔn)、發(fā)布實施、分發(fā)信息記錄表一. 風(fēng)險項目綜述1.企業(yè)名稱: xxxxx公司 2.企業(yè)概況：xxxxx公司是一家致力于計算機軟件產(chǎn)品的開發(fā)與銷售、計算機信息系統(tǒng)集成及技術(shù)支持 與服務(wù)的企業(yè)。3.isms方針：預(yù)防為主，共筑信息安全；完善管理，贏得顧客信賴。4.isms范圍：計算機應(yīng)用軟件開發(fā)，網(wǎng)絡(luò)安全產(chǎn)品設(shè)計/開發(fā)，系統(tǒng)集成及服務(wù)的信息安全管理。二. 風(fēng)險評估目的為了在考慮控制成本與風(fēng)險平衡的前提下選擇合適的控制目標(biāo)和控制方式，將信息安全風(fēng)險控制在可接受的水平,進(jìn)行本次風(fēng)險評估。三. 風(fēng)險評估日期：2017-9-10至

2、2017-9-15四. 評估小組成員xxxxxxx。五. 評估方法綜述1、首先由信息安全管理小組牽頭組建風(fēng)險評估小組；2、通過咨詢公司對風(fēng)險評估小組進(jìn)行相關(guān)培訓(xùn)；3、根據(jù)我們的信息安全方針、范圍制定信息安全風(fēng)險管理程序，以這個程序作為我們風(fēng)險評估的依據(jù)和方法；4、各部門識別所有的業(yè)務(wù)流程，并根據(jù)這些業(yè)務(wù)流程進(jìn)行資產(chǎn)識別，對識別的資產(chǎn)進(jìn)行打分形成重要資產(chǎn)清單；5、對每個重要資產(chǎn)進(jìn)行威脅、脆弱性識別并打分，并以此得到資產(chǎn)的風(fēng)險等級；6、根據(jù)風(fēng)險接受準(zhǔn)則得出不可接受風(fēng)險，并根據(jù)標(biāo)準(zhǔn)iso27001:2013的附錄a制定相關(guān)的風(fēng)險控制措施；7、對于可接受的剩余風(fēng)險向公司領(lǐng)導(dǎo)匯報并得到批準(zhǔn)。六. 風(fēng)險評

3、估概況 根據(jù)第一階段審核結(jié)果，修訂了信息安全風(fēng)險管理程序，根據(jù)新修訂程序文件，再次進(jìn)行了風(fēng)險評估工作從2017年9月10日開始進(jìn)入風(fēng)險評估階段，到2017年9月15日止基本工作告一段落。主要工作過程如下： 1.2017-9-10 2017-9-10，風(fēng)險評估培訓(xùn)；2.2017-9-11 2017-9-11，公司評估小組制定信息安全風(fēng)險管理程序，制定系統(tǒng)化的風(fēng)險評估方法；3.2017-9-12 2017-9-12，本公司各部門識別本部門信息資產(chǎn)，并對信息資產(chǎn)進(jìn)行等級評定，其中資產(chǎn)分為物理資產(chǎn)、軟件資產(chǎn)、數(shù)據(jù)資產(chǎn)、文檔資產(chǎn)、無形資產(chǎn)，服務(wù)資產(chǎn)等共六大類；4.2017-9-13 2017-9-13，

4、本公司各部門編寫風(fēng)險評估表，識別信息資產(chǎn)的脆弱性和面臨的威脅，評估潛在風(fēng)險，并在isms工作組內(nèi)審核；5.2017-9-14 2017-9-14，本公司各部門實施人員、部門領(lǐng)導(dǎo)或其指定的代表人員一起審核風(fēng)險評估表；6. 2017-9-15 2017-9-15，各部門修訂風(fēng)險評估表，識別重大風(fēng)險，制定控制措施；isms工作組組織審核，并最終匯總形成本報告。.七. 風(fēng)險評估結(jié)果統(tǒng)計本次風(fēng)險評估情況詳見各部門“風(fēng)險評估表”，其中共識別出資產(chǎn)190個，重要資產(chǎn)115個，信息安全風(fēng)險115個，不可接受風(fēng)險42個.表1 資產(chǎn)面臨的威脅和脆弱性匯總表 八風(fēng)險處理計劃根據(jù)本次風(fēng)險評估結(jié)果，對不可接受風(fēng)險進(jìn)行處理。在選取控制措施和方法時，結(jié)合公司財力、物力和資產(chǎn)重要度等級等各種因素，制定了風(fēng)險處理計劃。公司各部門針對不可接受風(fēng)險，公司組織各部門制定風(fēng)險處置計劃，經(jīng)各部門討論確認(rèn)，管理者代表批準(zhǔn)后實施。風(fēng)險處置計劃制定情況詳見風(fēng)險處置計劃。九. 殘余風(fēng)險在采取相關(guān)管理和技術(shù)措施后，經(jīng)再次風(fēng)險評估，不可接受風(fēng)險采取措施后的殘余風(fēng)見各部門信息安全殘余風(fēng)險評估表。對于中等及以上的殘余風(fēng)險，