ITSS服务管理体系文件
风险评估报告
修改记录
修改时间
版本
修改内容简述 修改人 审核人
目录
一、风险评估目的 ...................................................................................................................... 2 二、风险评估日期 ...................................................................................................................... 2 三、评估小组成员 ...................................................................................................................... 2 四、评估方法 .............................................................................................................................. 2 五、风险评估概况 ...................................................................................................................... 4 六、总结 ..................................................................................................................................... 5 附录 ............................................................................................................... 错误!未定义书签。
1
一、风险评估目的
为本公司依据ISO27001:2013《信息技术-安全技术-信息安全管理体系要求》和ISO27001:2013《信息技术-安全技术-信息安全管理体系实用规则》标准建立信息安全管理体系提供策划依据，并为信息安全管理体系的运行提供评审的输入及管理体系的持续改进提供依据，进行本次风险评估。
二、风险评估日期
2021-10-14——2021-10-18
三、评估小组成员
A、B、C。
四、评估方法
本次信息安全风险评估采用定量的方法对资产进行识别，并对资产自身价值、信息类别、保密性、完整性、可用性、法律法规合同及其它要求的符合性方面进行分类赋值，综合考虑资产在自身价值、保密性、完整性、可用性和法律法规合同上的达成程度，在此基础上得出综合结果，根据制定的重要资产评价准则，确定重要资产。
对信息资产的威胁及薄弱点进行识别，并对威胁利用薄弱点发生安全事件的可能性，以及在资产自身价值、保密性、完整性、可用性、法律法规合同的符合性方面的潜在影响，并考虑现有的控制措施，进行赋值分析，确定风险等级和接受程度。
2
资产（Asset）是组织要保护的资产，它包括硬件、软件、系统、数据、文档、服务、人力资源等。
威胁（Threat）是指可能对资产或组织造成损害的事故的潜在原因。它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。
薄弱点（Vulnerability）是指资产或资产组中能被威胁利用的弱点。它们不直接对资产造成危害，但薄弱点可能被环境中的威胁所利用从而危害资产的安全。
风险（Risk）是特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害的潜在可能性，即特定威胁事件发生的可能性与后果的结合。资产、威胁、薄弱点及控制的任何变化都可能带来风险的变化，因此，为了降低安全风险，应对环境或系统的变化进行监视以便及时采取有效措施加以控制或防范。
控制措施（Controls）是阻止威胁、降低风险、控制事故影响、检测事故及实施恢复的一系列实践、程序或机制。
在风险计算时，考虑了资产的重要程度，威胁利用薄弱点导致安全事件发生的可能性，安全事件一旦发生对资产的影响程度，以及已采取控制措施的有效性。根据所计算的风险值确定风险等级，并对所有风险计算结果进行等级处理。
综合考虑风险控制成本与风险造成的影响，制定了风险接受准则。对可接受风险，保持已有的安全措施；对不可接受风险，则采取安全措施以降低、控制风险。
具体的方法，见《信息安全风险识别与评价管理程序》。
3
评估过程：
本公司在建立信息安全管理体系的过程中，确定了风险评估的系统范围，依据《信息安全风险识别与评价管理程序》确定了风险评估方法。
在行政部的组织下，成立了本次风险评估小组，编制了风险评估计划。通过对各部门内审员的阶段式培训，根据风险评估阶段的工作计划，共同按照下列步骤完成了风险评估工作：
1）
各部门对本部门的资产进行了识别，并根据《信息安全风险识别与
评价管理程序》中既定的原则对资产进行了赋值，确定了重要资产；
2） 根据资产所处的环境进行了威胁的识别； 3） 针对每一威胁所对应的薄弱点进行识别； 4） 对目前已有的安全控制进行了确认；
5） 针对每一威胁利用薄弱点对于资产价值、保密性、完整性、可用性、合规性等方面造成的潜在影响进行了评价。
6） 根据《信息安全风险识别与评价管理程序》中风险等级的评价原则，确定了风险的等级。
在整个评估的过程中，风险评估小组对于各部门内审员进行了现场的指导，对于采集的数据的准确性、完整性、适宜性进行了确认。并对识别及评估的结果进行了整体的平衡。
五、风险评估概况
1、本项目涉及的部门
总经理、行政部、业务部、技术部
2、资产及风险情况
4
信息资产总数量：800
重要资产数量：580 占全部资产比例72.5% 重要资产情况见《重要资产清单》 风险总数量：470
高风险数量：80 占风险总数量的比例：17% 风险评估情况见《风险评估表》
六、总结
本次评估按照ISO27001:2013和ISO27002的要求，由资产的所有者（各部门风险评估人员）进行，通过以上风险评估，本公司的主要信息资产为信息系统数据、人员以及软硬件；主要风险为2级风险，涉及信息系统安全管理方面、人员管理方面。随着新的应用系统的不断投入使用，信息化程度越来越高，以及员工信息安全意识的提高，可能会对风险有新的认识或产生新的风险，因此，应按规定周期连续进行风险评估。
附加说明
1、本报告的数据采集及分析来自本公司所有信息安全管理体系覆盖部门的资产识别与风险评估。本报告内容与风险识别评估的时间完全一致。
2、本次评估是本公司第一次风险评估，各部门的资产评估人员缺乏大量的原始数据和丰富的评估经验，因此，未发现的风险可能依然存在于信息安全管理中，因此，在体系策划时应充分考虑对现有控制措施的完善和文件化。
3、本报告内可能包含公司的秘密信息，各评估成员不得向任何机构和个人提供副本,同时承诺为本报告的信息保密。
5
因篇幅问题不能全部显示，请点此查看更多更全内容