信息安全风险评估报告.doc

本次信息安全风险评估采用定量的方法对资产进行识别，并对资产自身价值、信息类别、保密性、完整性、可用性、法律法规合同及其它要求的符合性方面进行分类赋值，综合考虑资产在自身价值、保密性、完整性、可用性和法律法规合同上的达成程度，在此基础上得出综合结果，根据制定的重要资产评价准则，确定重要资产。 信息安全风险评估是对组织信息资产面临的威胁、存在的脆弱性以及由此可能导致的风险进行系统、全面的分析和评估的过程。此报告详细阐述了2020年度某单位进行的风险评估活动，旨在根据ISO27001:2013标准建立信息安全管理体系，并为管理体系的持续改进提供依据。 评估首先明确了风险评估的目的，即为ISO27001标准的实施提供策划基础，同时为管理体系的运行提供评审输入。评估日期为2020年3月1日至2日，由赵新村、徐洪岩、张学明等组成的评估小组执行。 评估方法采用定量方式，对资产进行分类赋值，考虑了资产的价值、信息类别、保密性、完整性和可用性等因素。通过对资产的这些属性的综合评估，确定了重要资产的范畴。同时，识别并评估了威胁和脆弱点，分析了威胁利用脆弱点导致安全事件的可能性和潜在影响，以此为基础计算风险等级。 在资产定义中，包含了硬件、软件、系统、数据、文档、服务和人力资源等组织关键元素。威胁可能来自人为或非人为因素，既可以是意外失误，也可能为恶意攻击。而脆弱性则是资产中存在的弱点，可能被威胁利用，对资产安全构成威胁。风险是特定威胁利用资产脆弱点导致损失的潜在可能性，结合了事件发生的可能性和后果。 风险控制措施包括一系列预防、降低、控制事故影响、检测和恢复的实践和机制。在风险计算中，考虑了资产重要性、事件发生的可能性、影响程度和现有控制措施的有效性。根据风险值确定风险等级，并制定风险接受准则，对不可接受风险采取相应措施降低风险。 评估过程包括资产识别、威胁识别、脆弱点识别、控制确认、潜在影响评价和风险等级确定等步骤。风险评估小组在行政部的协调下，对各部门的资产进行了详细调查，并对评估结果进行了平衡和验证。 评估结果显示，共有12项信息资产，其中16%为重要资产。存在2个高风险，占总风险数量的16%。风险评估表提供了详细的风险分布情况，而总结部分强调了评估遵循ISO27001标准，展示了风险评估的全面性和严谨性。 通过这次评估，单位能够明确信息安全管理的重点，为后续制定和优化安全策略提供有力支持，确保信息资产的安全，降低潜在风险，以符合法律法规和合同要求，保障组织的正常运营和信息安全。