信息安全评估报告精编版

xxx有限公司

信息安全评估报告(管理信息系统)

x年x月

1目标

xxxxxxxxx公司信息安全检查工作的主要目标是通过自评估工作，发现本公司电子设备当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。

2评估依据、范围和方法

2.1 评估依据

《信息安全技术信息安全风险评估规范》（GB/T 20984-2007）

《信息技术信息技术安全管理指南》

2.2 评估范围

本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。

2.3 评估方法

采用自评估方法。

3重要资产识别

对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。资产清单见附表1。

4安全事件

对公司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记

录，形成本公司的安全事件列表。

本公司至今没有发生较大安全事故。

5安全检查项目评估

5.1 规章制度与组织管理评估

规章制度详见《计算机信息系统及设备管理办法》

5.1.1组织机构

5.1.1.1 评估标准

信息安全组织机构包括领导机构、工作机构。

5.1.1.2 现状描述

本公司已成立了信息安全领导机构，但尚未成立信息安全工作机构。

5.1.1.3 评估结论

完善信息安全组织机构，成立信息安全工作机构。

5.1.2岗位职责

5.1.2.1 评估标准

岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。

5.1.2.2 现状描述

我公司没有配置专职网络管理人员、专职应用系统管理人员和专职系统管理人员，都是兼责；专责的工作职责与工作范围没有明确制度进行界定，岗位没有实行主、副岗备用制度。

5.1.2.3 评估结论

我公司已有兼职网络管理员、应用系统管理员和系统管理员，在条件许可下，配置专职管理人员；专责的工作职责与工作范围没有明确制度进行界定，根据实际情况制定管理制度；岗位没有实行主、副岗备用制度，在条件许可下，落实主、副岗备用制度。

5.1.3病毒管理

5.1.3.1 评估标准

病毒管理包括计算机病毒防治管理制度、定期升级的安全策略、病毒预警和报告机制、病毒扫描策略（1周内至少进行一次扫描）。

5.1.3.2 现状描述

我公司xxx防病毒软件进行病毒防护，定期从省官网病毒库服务器下载、升级安全策略；病毒预警是通过第三方和网上提供信息来源，每月统计、汇总病毒感染情况；每周进行二次自动病毒扫描；没有制定计算机病毒防治管理制度。

5.1.3.3 评估结论

完善病毒预警和报告机制，制定计算机病毒防治管理制度。

5.1.4运行管理

5.1.4.1 评估标准

运行管理应制定信息系统运行管理规程、缺陷管理制度、统计汇报制度、运5 维流程、值班制度并实行工作票制度；制定机房出入管理制度并上墙，对进出机房情况记录。

5.1.4.2 现状描述

没有建立相应信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度，没有实行工作票制度；机房出入管理制度上墙，但没有机房进出情况记录。

5.1.4.3 评估结论

结合本公司具体情况，制订信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度，实行工作票制度；机房出入管理制度上墙，记录机房进出情况。

5.1.5账号与口令管理

5.1.5.1 评估标准

制订了账号与口令管理制度；普通用户账户密码、口令长度要求符合大于6字符，管理

员账户密码、口令长度大于8字符；半年内账户密码、口令应变更并保存变更相关记录、通知、文件，半年内系统用户身份发生变化后应及时对其账户进行变更或注销。

5.1.5.2 现状描述

没有制订账号与口令管理制度，普通用户账户密码、口令长度要求大部分都不符合大于6字符；管理员账户密码、口令长度大于8字符，半年内账户密码、口令有过变更，但没有变更相关记录、通知、文件；半年内系统用户身份发生变化后能及时对其账户进行变更或注销。

5.1.5.3 评估结论

制订账号与口令管理制度，完善普通用户账户与管理员账户密码、口令长度要求；对账户密码、口令变更作相关记录；及时对系统用户身份发生变化后对其账户进行变更或注销。

信息安全风险评估报告

1111单位:1111系统安全项目信息安全风险评估报告我们单位名日期

报告编写人: 日期：批准人：日期：版本号：第一版本日期第二版本日期终板

目录 1概述 (5) 1.1项目背景 (5) 1.2工作方法 (5) 1.3评估范围 (5) 1.4基本信息 (5) 2业务系统分析 (6) 2.1业务系统职能 (6) 2.2网络拓扑结构 (6) 2.3边界数据流向 (6) 3资产分析 (6) 3.1信息资产分析 (6) 3.1.1信息资产识别概述 (6) 3.1.2信息资产识别 (7) 4威胁分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 4.4威胁识别 (9) 5脆弱性分析 (9) 5.1脆弱性分析概述 (9) 5.2技术脆弱性分析 (10) 5.2.1网络平台脆弱性分析 (10) 5.2.2操作系统脆弱性分析 (10) 5.2.3脆弱性扫描结果分析 (10) 5.2.3.1扫描资产列表 (10) 5.2.3.2高危漏洞分析 (11) 5.2.3.3系统帐户分析 (11) 5.2.3.4应用帐户分析 (11)

5.3管理脆弱性分析 (11) 5.4脆弱性识别 (13) 6风险分析 (14) 6.1风险分析概述 (14) 6.2资产风险分布 (14) 6.3资产风险列表 (14) 7系统安全加固建议 (15) 7.1管理类建议 (15) 7.2技术类建议 (15) 7.2.1安全措施 (15) 7.2.2网络平台 (16) 7.2.3操作系统 (16) 8制定及确认................................................................................................................. 错误!未定义书签。9附录A：脆弱性编号规则.. (17)

信息安全评估报告精编版

xxx有限公司信息安全评估报告(管理信息系统) x年x月

1目标 xxxxxxxxx公司信息安全检查工作的主要目标是通过自评估工作，发现本公司电子设备当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据《信息安全技术信息安全风险评估规范》（GB/T 20984-2007）《信息技术信息技术安全管理指南》 2.2 评估范围本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。 2.3 评估方法采用自评估方法。 3重要资产识别对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。资产清单见附表1。 4安全事件对公司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本公司的安全事件列表。本公司至今没有发生较大安全事故。 5安全检查项目评估 5.1 规章制度与组织管理评估规章制度详见《计算机信息系统及设备管理办法》 5.1.1组织机构

5.1.1.1 评估标准信息安全组织机构包括领导机构、工作机构。 5.1.1.2 现状描述本公司已成立了信息安全领导机构，但尚未成立信息安全工作机构。 5.1.1.3 评估结论完善信息安全组织机构，成立信息安全工作机构。 5.1.2岗位职责 5.1.2.1 评估标准岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。 5.1.2.2 现状描述我公司没有配置专职网络管理人员、专职应用系统管理人员和专职系统管理人员，都是兼责；专责的工作职责与工作范围没有明确制度进行界定，岗位没有实行主、副岗备用制度。 5.1.2.3 评估结论我公司已有兼职网络管理员、应用系统管理员和系统管理员，在条件许可下，配置专职管理人员；专责的工作职责与工作范围没有明确制度进行界定，根据实际情况制定管理制度；岗位没有实行主、副岗备用制度，在条件许可下，落实主、副岗备用制度。

信息安全风险评估报告DOC

XXXXX公司信息安全风险评估报告历史版本编制、审核、批准、发布实施、分发信息记录表

一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与服

务的企业。 3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。 4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。二. 风险评估目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。三. 风险评估日期： 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组； 2、通过咨询公司对风险评估小组进行相关培训； 3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方法； 4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产清单； 5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级； 6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施； 7、对于可接受的剩余风险向公司领导汇报并得到批准。六. 风险评估概况根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作

从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。主要工作过程如下： 1.2017-9-10 ~ 2017-9-10，风险评估培训； 2.2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法； 3.2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类； 4.2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在风险，并在ISMS工作组内审核； 5.2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表； 6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作组组织审核，并最终汇总形成本报告。 . 七. 风险评估结果统计本次风险评估情况详见各部门“风险评估表”，其中共识别出资产190个，重要资产115个，信息安全风险115个，不可接受风险42个. 表1 资产面临的威胁和脆弱性汇总表

互联网的新闻信息服务安全评估的报告实用模板.docx

互联网新闻信息服务安全评估报告申请单位：报告时间：年月日

目录一、技保障人情况?????????????1 二、技保障措施估?????????????2 三、用个人信息保制度估?????????4 四、承??????????????????5附：明???????????????????7

一、技术保障人员情况序职务最高相关从相关技国籍部门岗位/ 职姓名学历业年限入职时间号能证书称 1 2 3 4 5 6 7 8 9 10 11

二、技术保障措施评估请严格按照评估要求认真开展安全评估工作，并严格根据本单位实际情况填写评估内容。估内容估要求 1.信息源（稿稿源建立白名等分分管理措源）管理保障施或技手段；稿源建立核管理措施（ 100 分）或技手段。布的信息内容（包括文本、片、音 2.内容核等）建立核机制和相技手段；与敏感信息建立敏感信息本并行定期及管理（ 100 分）更新；具法和不良信息、、阻断及置的技手段。服名称 1服名称2服名称3服名称4? 符合行符合行符合行符合行要求情况要求情况要求情况要求情况 ??（是 /估（是估（是估（是估否）得分/ 否）得分/ 否）得分/ 否）得分 ??

服名称 1服名称 2服名称 3服名称 4?符合行符合行符合行符合行估内容估要求要求情况要求情况要求情况要求情况（是 /估（是估（是估（是?? 估否）得分/ 否）得分/ 否）得分/ 否）得分明确由第三方提供的、向第三方提供的 3.开放接口API 接口服形式、服方法、限管理管理（ 100 分）和安全；布到第三方的信息和数据具相的技核措施。用注册行名，用注册、更信息（昵称、像等）行核； 4.用（用行差异化的安全等管理，限制未）管理及登用的使用限，用匿名操作后置（ 100 台可追溯；当用布的内容含有法和分）不良信息，或反定，号行置，明确限并保存。 5.机制建立机制，明确入口，管理（ 100 分）和置信息并建立相技手段。 6.急置重大信息安全事件具急置能力，机制（ 100 分）并建立相关技手段。

信息安全风险评估报告模板

XXXXXXXX信息系统信息安全风险评估报告模板项目名称：项目建设单位：风险评估单位： ****年**月**日

目录一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)

5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)

信息安全风险评估报告

胜达集团信息安全评估报告 (管理信息系统) 胜达集团二零一六年一月

1目标胜达集团信息安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。 2.2 评估范围本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。2.3 评估方法采用自评估方法。 3重要资产识别对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。资产清单见附表1。 4安全事件对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。安全事件列表见附表2。 5安全检查项目评估 5.1 规章制度与组织管理评估 5.1.1组织机构 5.1.1.1评估标准信息安全组织机构包括领导机构、工作机构。 5.1.1.2现状描述本局已成立了信息安全领导机构，但尚未成立信息安全工作机构。 5.1.1.3 评估结论

网络安全防护检查报告

编号：网络安全防护检查报告数据中心测评单位：报告日期：目录第1章系统概况 (2) 1.1 网络结构 (2) 1.2 管理制度 (2) 第2章评测方法和工具 (4) 2.1 测试方式 (4) 2.2 测试工具 (4) 2.3 评分方法 (4) 2.3.1 符合性评测评分方法 (5) 2.3.2 风险评估评分方法 (5) 第3章测试内容 (7) 3.1 测试内容概述 (7) 3.2 扫描和渗透测试接入点 (8) 3.3 通信网络安全管理审核 (8) 第4章符合性评测结果 (9) 4.1 业务安全 (9) 4.2 网络安全 (9)

4.3 主机安全 (9) 4.4 中间件安全 (10) 4.5 安全域边界安全 (10) 4.6 集中运维安全管控系统安全 (10) 4.7 灾难备份及恢复 (11) 4.8 管理安全 (11) 4.9 第三方服务安全 (12) 第5章风险评估结果 (13) 5.1 存在的安全隐患 (13) 第6章综合评分 (14) 6.1 符合性得分 (14) 6.2 风险评估 (14) 6.3 综合得分 (14) 附录A 设备扫描记录 (15)

所依据的标准和规范有： ?《YD/T 2584-2013 互联网数据中心IDC安全防护要求》 ?《YD/T 2585-2013 互联网数据中心IDC安全防护检测要求》?《YD/T 2669-2013 第三方安全服务能力评定准则》 ?《网络和系统安全防护检查评分方法》 ?《2014年度通信网络安全防护符合性评测表－互联网数据中心IDC》还参考标准 ?YD/T 1754-2008《电信和互联网物理环境安全等级保护要求》?YD/T 1755-2008《电信和互联网物理环境安全等级保护检测要求》 ?YD/T 1756-2008《电信和互联网管理安全等级保护要求》 ?GB/T 20274 信息系统安全保障评估框架 ?GB/T 20984-2007 《信息安全风险评估规范》

信息安全风险评估报告

附件：国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式项目名称：项目建设单位：风险评估单位：年月日

信息安全风险评估实施报告..

1111单位:1111系统安全项目信息安全风险评估报告我们单位名

日期

报告编写人：日期：批准人：日期：版本号：第一版本第二版本终板日期日期

目录 1 概述 (5) 1.1 项目背景 (5) 1.2 工作法 (5) 1.3 评估围 (5) 1.4 基本信息 (6) 2 业务系统分析 (6) 2.1 业务系统职能 (6) 2.2 网络拓扑结构 (6) 2.3 边界数据流向 (6) 3 资产分析 (7) 3.1 信息资产分析 (7) 3.1.1 信息资产识别概述 (7)

3.1.2 信息资产识别 (7) 4 威胁分析 (8) 4.1 威胁分析概述 (8) 4.2 威胁分类 (10) 4.3 威胁主体 (10) 4.4 威胁识别 (11) 5 脆弱性分析 (12) 5.1 脆弱性分析概述 (12) 5.2 技术脆弱性分析 (13) 5.2.1 网络平台脆弱性分析 (13) 5.2.2 操作系统脆弱性分析 (13) 5.2.3 脆弱性扫描结果分析 (14) 5.2.3.1 扫描资产列表 (14) 5.2.3.2 高危漏洞分析 (15) 5.2.3.3 系统帐户分析 (15) 5.2.3.4 应用帐户分析 (15) 5.3 管理脆弱性分析 (15) 5.4 脆弱性识别 (17) 6 风险分析 (18) 6.1 风险分析概述 (18) 6.2 资产风险分布 (19) 6.3 资产风险列表 (19) 7 系统安全加固建议 (20) 7.1 管理类建议 (20) 7.2 技术类建议 (20) 7.2.1 安全措施 (20) 7.2.2 网络平台 (21) 7.2.3 操作系统 (22) 8 制定及确认.................................................. 错误!未定义书签。 9 附录A :脆弱性编号规则 (23)

信息安全风险评估报告格式

附件：信息安全风险评估报告格式项目名称：项目建设单位：风险评估单位：年月日

信息安全评估报告

xxx有限公司信息安全评估报告 (管理信息系统) x年x月 1目标 xxxxxxxxx公司信息安全检查工作的主要目标是通过自评估工作，发现本公司电子设备当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据《信息安全技术信息安全风险评估规范》（GB/T 20984-2007）《信息技术信息技术安全管理指南》 2.2 评估范围本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。 2.3 评估方法采用自评估方法。 3重要资产识别对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。资产清单见附表1。 4安全事件对公司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本公司的安全事件列表。本公司至今没有发生较大安全事故。 5安全检查项目评估 5.1 规章制度与组织管理评估规章制度详见《计算机信息系统及设备管理办法》评估标准

信息安全组织机构包括领导机构、工作机构。现状描述本公司已成立了信息安全领导机构，但尚未成立信息安全工作机构。评估结论完善信息安全组织机构，成立信息安全工作机构。评估标准岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。现状描述我公司没有配置专职网络管理人员、专职应用系统管理人员和专职系统管理人员，都是兼责；专责的工作职责与工作范围没有明确制度进行界定，岗位没有实行主、副岗备用制度。评估结论我公司已有兼职网络管理员、应用系统管理员和系统管理员，在条件许可下，配置专职管理人员；专责的工作职责与工作范围没有明确制度进行界定，根据实际情况制定管理制度；岗位没有实行主、副岗备用制度，在条件许可下，落实主、副岗备用制度。评估标准病毒管理包括计算机病毒防治管理制度、定期升级的安全策略、病毒预警和报告机制、病毒扫描策略（1周内至少进行一次扫描）。现状描述我公司xxx防病毒软件进行病毒防护，定期从省官网病毒库服务器下载、升级安全策略；病毒预警是通过第三方和网上提供信息来源，每月统计、汇总病毒感染情况；每周进行二次自动病毒扫描；没有制定计算机病毒防治管理制度。评估结论完善病毒预警和报告机制，制定计算机病毒防治管理制度。评估标准运行管理应制定信息系统运行管理规程、缺陷管理制度、统计汇报制度、运5 维流程、值班制度并实行工作票制度；制定机房出入管理制度并上墙，对进出机房情况记录。现状描述没有建立相应信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度，没有实行工作票制度；机房出入管理制度上墙，但没有机房进出情况记录。评估结论结合本公司具体情况，制订信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度，实行工作票制度；机房出入管理制度上墙，记录机房进出情况。

网络信息安全评估报告

计算机信息安全评估报告如何实现如下图所示可用性1.人们通常采用一些技术措施或网络安全设备来实现这些目标。例如：使用防火墙，把攻击者阻挡在网络外部，让他们“迚不来”。即使攻击者迚入了网络内部，由于有加密机制，会使他们“改不了”和“拿不走”关键信息和资源。机密性2机密性将对敏感数据的访问权限控制在那些经授权的个人，只有他们才能查看数据。机密性可防止向未经授权的个人泄露信息，或防止信息被加工。如图所示，“迚不来”和“看不懂”都实现了信息系统的机密性。人们使用口令对迚入系统的用户迚行身份鉴别，非法用户没有口令就“迚不来”，这就保证了信息系统的机密性。即使攻击者破解了口令，而迚入系统，加密机制也会使得他们“看不懂”关键信息。例如，甲给乙发送加密文件，只有乙通过解密才能读懂其内容，其他人看到的是乱码。由此便实现了信息的机密性。完整性3如图所示，“改不了”和“拿不走”都实现了信息系统的完整性。使用加密机制，可以保证信息系统的完整性，攻击者无法对加密信息迚行修改或者复制。不可抵赖性4如图所示，“跑不掉”就实现了信息系统的不可抵赖性。如果攻击者迚行了非法操作，系统管理员使用审计机制或签名机制也可让他们无所遁形对考试的机房迚行“管理制度”评估。

（1）评估说明为规范管理,保障计算机设备的正常运行,创造良好的上机环境,必须制定相关的管理制度（2）评估内容没有建立相应信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度，没有实行工作票制度；机房出入管理制度上墙，但没有机房迚出情况记录（3）评估分析报告所存在问题：1没有系统的相关负责人，机房也是谁人都可以自由出入。2在上机过程中做与学习无关的工作。3机房财产规划不健全等（4）评估建议 1、计算机室的管理由系统管理员负责，非机房工作人员未经允许不准迚入。未经许可不得擅自上机操作和对运行设备及各种配置迚行更改。2、保持机房内清洁、安静，严禁机房内吸烟、吐痰以及大声喧哗；严禁将易燃、易爆、易污染和强磁物品带入机房。3、机房内的一切物品，未经管理员同意，不得随意挪动，拆卸和带出机房。4、上机时，应先认真检查机器情况，如有问题应及时向机房管理员反应。5、上机人员不得在机房内迚行与上机考试无关的计算机操作。6、上机时应按规定操作，故意或因操作不当造成设备损坏，除照价赔偿外，视情节轻重给予处罚。对考试的机房迚行“物理安全”评估。（1）评估说明防火，防水，防尘，防腐蚀，主机房安装门禁、监控与报警系统。（2）评估内容主机房没有安装门禁、监控系统，有消防报警系统。（3）评估分析报告没有详细的机房配线图，机房供甴系统将动力、照明用甴与计算机系统供甴线路是分开的，机房没有配备应急照明装置，有定期对UPS的运行状况迚行检测但没有检测记录。（4）评估建议有详细的机房配线图，机房供甴系统将动力、照明用甴与计算机系统供甴线路分开，机房配备应急照明装置，定期对UPS的运行状况迚行检测（查看半年内检测记录）对考试的机房迚行“计算机系统安全”评估。（1）评估说明应用系统的角色、权限分配有记录；用户账户的变更、修改、注销有记录（半年记录情况）；关键应用系统的数据功能操作迚行审计幵迚行长期存储；对关键应用系统有应急预案；关键应用系统管理员账户、用户账户口令定期迚行变更；新系统上线前迚行安全性测试。（2）评估内容营销系统的角色、权限分配有记录，其余系统没有；用户账户的变更、修改、注销没有记录；关键应用系统的数据功能操作没有迚行审计；没有针对关键应用系统的应急预案；关键应用系统管理员账户、用户账户口令有定期迚行变更；有些新系统上线前没有迚行过安全性测试。（3）评估分析报告网络中的防火墙位置部署合理，防火墙规则配置符合安全要求，防火墙规则配置的建立、更改有规范申请、审核、审批流程，对防火墙日志迚行存储、备份。（4）评估建议完善系统的角色、权限分配有记录；记录用户账户的变更、修改、注销（半年记录情

网络安全自查评估报告

根据信息管理服务中心《关于开展2016年上半年信息系统质量标准化及信息化建设情况检查评估的通知》的要求，我单位积极组织落实，认真对照，对网络安全基础设施情况及网络信息安全进行了自查，对我矿网络与信息安全状况进行了深刻剖析，现将自查自纠情况报告如下：一、2016年一季度网络运行状况我单位是信息网络安全管理主管部门，随着矿井巷道及采区的不断延伸，信息化投入的不断加大，我单位更加注重加强网络安全管理以及网络设施的规划建设、维修维护等具体工作，落实工作责任，加强日常监督检查，网络运维状况良好各信息系统运维正常。二、安全制度与落实 1、结合集团公司《信息网络安全管理办法》和《网络安全管理办法》，对网络安全、内部电脑、机房管理、计算机操作人员行为等各方面都作了详细规定，进一步规范了我矿信息网络安全管理工作。 2、各单位上网为实名制上网，均采取IP地址和计算机MAC地址绑定。并详细记录使用人的使用地点、联系电话，做到一有问题及时通知。三、网络设备配置与管理我单位中心机房配置两台Cisco 6509核心交换机，采用了虚拟化（VSS）技术将两台交换机组合为单一虚拟交换机，从而提高运营效率、增强不间断通信；在一

通三防楼布置一台联想8812E汇聚交换机负责整个北部区域的网络覆盖；各楼宇大部分均采用了Cisco2960 与联想天工iSpirit 2924G智能交换机对网络安全进行管理。 1、启用了防火墙设备，对互联网有害信息进行过滤、封堵，长期对防火墙进行检查维护； 2、对我单位东五楼、西六楼、一通三防办公楼、热电冷、物供部等重点办公区域、楼宇进行了双链路链接； 3、定期对中心机房服务器的系统和软件进行更新，对重要文件、信息资源做到及时备份，数据恢复。四、各系统硬件设备的维护护 2016年5月1日-5月11日按照集团公司统一部署我矿进行了停产检修计划，在此期间我单位组织相关人员对网络中心机房核心交换机、服务器、工控机等网络硬件设备进行了逐台下架清理维护，并对有关服务器设备进行了系统升级、数据备份，对于设备出现的故障显示及时进行了排查处理，确保检修结束后各系统能够正常运行满足矿井生产需要；中心机房每台服务器都安装了防病毒软件，系统相关设备的应用一直采取规范化管理，硬件设备的使用符合国家相关产品质量安全规定，硬件的运行环境符合要求，各系统系统安全有效。本次自查报告综上所述，如有不妥请上级领导批评指正！

信息安全风险评估方案

第一章网络安全现状与问题 1.1目前安全解决方案的盲目性现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。第二章网络动态安全防范体系用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而

信息安全风险评估项目流程

信息安全风险评估项目流程一、售前方案阶段 1.1、工作说明技术部配合项目销售经理（以下简称销售）根据客户需求制定项目解决方案，客户认可后，销售与客户签订合同协议，同时向技术部派发项目工单（项目实施使用） 1.2、输出文档《XXX项目XXX解决方案》输出文档（电子版、纸质版）交付销售助理保管，电子版抄送技术部助理。 1.3、注意事项 ?销售需派发内部工单（售前技术支持） ?输出文档均一式三份（下同）二、派发项目工单 2.1、工作说明销售谈下项目后向技术部派发项目工单，技术部成立项目小组，

指定项目实施经理和实施人员。三、项目启动会议 3.1、工作说明 ?销售和项目经理与甲方召开项目启动会议，确定各自接口负责人。 ?要求甲方按合同范围提供《资产表》，确定扫描评估范围、人工评估范围和渗透测试范围。 ?请甲方给所有资产赋值（双方确认资产赋值） ?请甲方指定安全评估调查（访谈）人员 3.2、输出文档《XXX项目启动会议记要》客户提交《信息资产表》、《网络拓扑图》，由项目小组暂时保管，以供项目实施使用 3.3、注意事项 ?资产数量正负不超过15%；给资产编排序号，以方便事后检查。 ?给人工评估资产做标记，以方便事后检查。 ?资产值是评估报告的重要数据。

?销售跟客户沟通，为项目小组提供信息资产表及拓扑图，以便项目小组分析制定项目计划使用。四、项目前期准备 4.1、工作说明 ?准备项目实施PPT，人工评估原始文档（对象评估文档），扫描工具、渗透测试工具、保密协议和授权书 ?项目小组与销售根据项目内容和范围制定项目实施计划。 4.2、输出文档《XXX项目实施PPT》《XXX项目人工访谈原始文档》《XXX项目保密协议》《XXX项目XXX授权书》 4.3、注意事项 ?如无资产表和拓扑图需到现场调查后再制定项目实施计划和工作进度安排。 ?项目实施小组与客户约定进场时间。 ?保密协议和授权书均需双方负责人签字并加盖公章。 ?保密协议需项目双方参与人员签字

单位信息安全评估报告

××单位信息安全评估报告(管理信息系统) ××单位二零一一年九月

1目标 ××单位信息安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。 2.2 评估范围本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。 2.3 评估方法采用自评估方法。 3重要资产识别对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。资产清单见附表1。

4安全事件对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。安全事件列表见附表2。 5安全检查项目评估 5.1 规章制度与组织管理评估 5.1.1组织机构 5.1.1.1 评估标准信息安全组织机构包括领导机构、工作机构。 5.1.1.2 现状描述本局已成立了信息安全领导机构，但尚未成立信息安全工作机构。 5.1.1.3 评估结论完善信息安全组织机构，成立信息安全工作机构。 5.1.2岗位职责 5.1.2.1 评估标准岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。 5.1.2.2 现状描述我局没有配置专职网络管理人员、专职应用系统管理人员和专职系统管理人员，都是兼责；专责的工作职责与工作范围没有明确制度进行界定，岗位没有实

信息安全风险评估方案报告.doc

信息安全风险评估方案报告1 附件：国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式项目名称：项目建设单位：风险评估单位：年月日目录一、风险评估项目概述(1) 1.1工程项目概况(1) 1.1.1 建设项目基本信息(1) 1.1.2 建设单位基本信息(1) 1.1.3承建单位基本信息(2) 1.2风险评估实施单位基本情况(2) 二、风险评估活动概述(2) 2.1风险评估工作组织管理(2) 2.2风险评估工作过程(3)

2.3依据的技术标准及相关法规文件(3) 2.4保障与限制条件(3) 三、评估对象(3) 3.1评估对象构成与定级(3) 3.1.1 网络结构(3) 3.1.2 业务应用(3) 3.1.3 子系统构成及定级(4) 3.2评估对象等级保护措施(4) 3.2.1XX子系统的等级保护措施(4) 3.2.2子系统N的等级保护措施(4) 四、资产识别与分析(5) 4.1资产类型与赋值(5) 4.1.1资产类型(5) 4.1.2资产赋值(5) 4.2关键资产说明(5) 五、威胁识别与分析(6) 5.2威胁描述与分析(6)

5.2.1 威胁源分析(6) 5.2.2 威胁行为分析(6) 5.2.3 威胁能量分析(6) 5.3威胁赋值(6) 六、脆弱性识别与分析(7) 6.1常规脆弱性描述(7) 6.1.1 管理脆弱性(7) 6.1.2 网络脆弱性(7) 6.1.3系统脆弱性(7) 6.1.4应用脆弱性(7) 6.1.5数据处理和存储脆弱性(8) 6.1.6运行维护脆弱性(8) 6.1.7灾备与应急响应脆弱性(8) 6.1.8物理脆弱性(8) 6.2脆弱性专项检测(8) 6.2.1木马病毒专项检查(8) 6.2.2渗透与攻击性专项测试(8)

网络安全防护检查报告

网络安全防护检查报告数据中心测试单位：报告日期：

目录第1章系统槪况 (4) 网络结构 (4) 管理制度 (4) 第2章：评测方法和工具 (6) 测试方式 (6) 测试工具 (6) 评分方法 (6) 符合性评测评分方法 (6) 风险评估评分方法 (7) 第3章测试内容 (9) 测试内容概述 (9) 扫描和渗透测试接入点 (10) 通信网络安全管理审核 (10) 第四章符合性评测结果 (11) 业务安全 (11) 网络安全 (11) 主机安全 (11) 中间件安全 (12) 安全域边界安全 (12) 集中运维安全管系统安全 (12) 灾难备份及恢复 (13) 管理安全 (13) 第三方服务安全 (14) 第5章风险评估结果 (14) 存在的安全隐患 (14) 第6章综合评分 (15) 符合性得分 (15) 风险评估 (15) 综合得分 (15) 所依据的标准和规范有： >《YD/T 2584-2013互联网数据中心IDC安全防护要求》《YD/T 2585-2013互联网数据中心IDC安全防护检测要求》《YD/T 2669-2013第三方安全服务能力评定准则》《网络和系统安全防护检查评分方法》 ?2Q14年度通信网络安全防护符合性评测表-互联网数据中心IDC》还参考标准

YD/T 1754-2QQ8〈<电信和互联网物理环境安全等级保护要求》 YD/T 1755-2QQ8〈<电信和互联网物理环境安全等级保护检测要求》YD/T 1756-2QQ8《电信和互联网管理安全等级保护要求》 GB/T 20274信息系统安全保障评估框架 >GB/T 20984-2007《信息安全风险评估规范》

信息系统安全风险评估报告书模板

项目名称： XXX风险评估报告被评估公司单位： XXX有限公司参与评估部门：XXXX委员会一、风险评估项目概述 1.1 工程项目概况 1.1.1 建设项目基本信息

1.2 风险评估实施单位基本情况二、风险评估活动概述 2.1 风险评估工作组织管理描述本次风险评估工作的组织体系（含评估人员构成）、工作原则和采取的保密措施。 2.2 风险评估工作过程本次评估供耗时2天，采取抽样的的方式结合现场的评估，涉及了公司所有部门及所有的产品，已经包括了位于公司地址位置的相关产品。 2.3 依据的技术标准及相关法规文件本次评估依据的法律法规条款有：

2.4 保障与限制条件需要被评估单位提供的文档、工作条件和配合人员等必要条件，以及可能的限制条件。

三、评估对象 3.1 评估对象构成与定级 3.1.1 网络结构根据提供的网络拓扑图，进行结构化的审核。 3.1.2 业务应用本公司涉及的数据中心运营及服务活动。 3.1.3 子系统构成及定级 N/A 3.2 评估对象等级保护措施按照工程项目安全域划分和保护等级的定级情况，分别描述不同保护等级保护范围内的子系统各自所采取的安全保护措施，以及等级保护的测评结果。根据需要，以下子目录按照子系统重复。 3.2.1XX子系统的等级保护措施根据等级测评结果，XX子系统的等级保护管理措施情况见附表一。根据等级测评结果，XX子系统的等级保护技术措施情况见附表二。

四、资产识别与分析 4.1 资产类型与赋值 4.1.1资产类型按照评估对象的构成，分类描述评估对象的资产构成。详细的资产分类与赋值，以附件形式附在评估报告后面，见附件3《资产类型与赋值表》。 4.1.2资产赋值填写《资产赋值表》。