信息资产风险评估报告

《信息资产风险评估报告》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、信息安全咨询项目××信息资产风险评估报告　　　　　　　　信息资产风险评估报告信息安全咨询项目××有限公司文档信息项目名称:项目经理:文档版本号:1.3项目阶段:文档版本日期:2008/07/06质量复审方法:起草人:起草日期:2008/07/01复审人:复审日期:2008/07/03分发列表自日期电话/传真2008/07/03(086)-13510283329到行动*截止日期电话/传真复审2008/07/07复审2008/07/07*行动类别:批准、复审、通知、存档、需要采取行动、参加会议、其他（请指明）版本历史版本号版本日期修改人说明draft

2、2008/07/01文档创建V1.02008/07/03修订V1.32008/07/07修订页号：24of24信息安全咨询项目××信息资产风险评估报告产权说明本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属××有限公司咨询事业部和××有限公司所有，受到有关产权及版权法保护。任何个人、机构未经××有限公司咨询事业部和××有限公司的书面授权许可，不得复制或引用本文档的任何片断，无论通过电子形式或非电子形式。目录1.文档说明41.1.文档结构41.2.适用范围41.3.定义、缩略语、缩写41.3.1.定义41

3、.3.2.缩略语52.信息资产风险评估方法、范围与过程62.1.风险评估方法62.2.风险评估范围62.3.风险评估过程73.信息资产风险评估综述93.1.××信息资产组识别与登记93.2.××风险评估结果综述153.3.主要信息资产风险和处置措施建议164.各部门信息资产风险评估结果214.1.信息技术部风险评估结果214.1.1.风险评估结果统计214.1.2.主要风险列表21文档说明信息资产风险评估是××信息安全咨询项目的第二阶段的主要工作，××有限公司和××公司信息安全咨询项目相关人员通过信息资产分类分组、信息资产登记、信息资产组威胁和脆

4、弱性识别、风险分析和风险评价等过程，进行了详细的信息资产安全风险评估，评估范围为总部17个部门、山东分公司和广东分公司。本文档是信息安全风险评估阶段的交付物，目的是描述××的信息资产中存在的风险，并提出了改善建议，为下一阶段具体风险处置措施的实施打好基础。文档结构第1章文档说明对本文档的目的，结构，适用范围，术语等进行了定义和说明。第2章信息安全风险评估过程描述××信息资产风险评估的内容与步骤。第3章信息资产风险评估结果综述对××信息资产风险评估的结果进行分析，对重要风险提出处置建议。页号：24of24信息安全咨询项目××信息资产风险评估报告第4

5、章各部门信息资产风险评估结果说明××总部各部门和山东、广东两个分公司的重要风险评估结果。适用范围本文档为内部文档，适用于××的信息安全工作相关部门的管理层以及信息安全工作人员：总部业务部门车险部、水险部、非水险部、再保部、战略管理部、产品精算部、综合开拓部、客户服务部、销售管理部、深圳联系中心总部IT部门信息技术部总部支撑部门计划财务部、投资部、人力资源部、审计部、办公室、党委办公室分公司广东分公司、山东分公司定义、缩略语、缩写定义名词定义风险管理Riskmanagement风险管理是以可接受成本识别、评估、控制、降低可能影响信息系统风险的过程，

6、通过风险评估识别风险，通过制定信息安全方针，采取适当的控制目标与控制方式对风险进行控制，使风险被避免、转移或降低到一个可以被接受的水平，同时考虑控制费用与风险之间的平衡；风险管理包括风险评估和风险处置两部分.资产Asset即信息资产，对组织具有价值的信息或资源，是安全策略保护的对象。资产组Assetgroup又称资产组合，是指具有相同或相近的业务功能的资产组合，如由硬件、软件、配置信息等组成的应用系统资产组，由电子文件、纸质文档组成的信息资产组。资产价值Assetvalue资产的重要程度或敏感程度的表征。资产价值是资产的属性，也是进行资产识别的主

7、要内容。机密性Confidentiality数据所具有的特性，即表示数据所达到的未提供或未泄露给未授权的个人、过程或其他实体的程度。完整性Integrity保证信息及信息系统不会被非授权更改或破坏的特性。包括数据完整性和系统完整性。可用性Availability数据或资源的特性，被授权实体按要求能访问和使用数据或资源。残余风险Residualrisk采取了安全措施后，仍然可能存在的风险。威胁Threat可能导致对系统或组织造成危害的、不希望发生的事故的潜在原因。脆弱性Vulnerability是指可能被威胁所利用的资产或若干资产的弱点，又称弱点。

8、和资产本身的特别和性能有关。资产组AssetTeam是具有相同或相近的业务功能的资产的组合。缩略语××××有限公司××××有限公司风险评