化妆品安全风险评估指南征求意见稿起草说明
附件2
《化妆品安全风险评估指南》
（征求意见稿）起草说明
为规范和指导安全风险评估工作，保障化妆品消费安全，国家食品药品监管总局药品化妆品注册管理司组织起草了《化妆品安全风险评估指南》（征求意见稿）。现就起草的有关情况说明如下：
一、必要性
（一）化妆品安全风险评估是产品安全评价的有效手段。化妆品安全风险评估是指,利用现有的科学资料对化妆品中危害人体健康的已知或潜在的不良影响进行科学评价。化妆品一般可认为是各种原料的组合，原料的安全性是化妆品安全的前提条件。化妆品产品的安全性评价应基于所有原料和风险物质的风险评估。化妆品安全风险评估能有效地反映出化妆品的潜在风险，一定程度上可以替代终产品毒理学试验。目前，美国、欧盟、日本等发达国家和地区，已经广泛运用风险评估手段进行化妆品安全性评价。
（二）《指南》是规范和指导我国化妆品安全风险评估工作的重要规范性文件。2013年12月，总局发布了《关于调整化妆品注册备案管理有关事宜的通告》（2013年第10号通告），明确国产非特殊用途化妆品“风险评估结果能够充
分确认产品安全性的，可免予产品的相关毒理学试验”，国产特殊用途化妆品和进口化妆品注册也要求企业提交安全风险评估报告。但目前我国尚无化妆品安全风险评估指导性文件，原国家食品药品监管局印发的《化妆品中可能存在的安全性风险物质风险评估指南》（国食药监许〔2010〕339号）也仅是针对化妆品中可能存在的安全性风险物质的风险评估程序进行了描述，难以科学、系统地指导化妆品安全风险评估工作。
二、工作原则
（一）坚持科学性、可行性。在参考欧盟《化妆品安全性评价指南》（第11版）的基础上，充分结合我国化妆品产业现状，制订《指南》。
（二）充分采纳已有风险评估结果。《指南》提出，凡符合现行的化妆品技术规范相关要求的防腐剂、防晒剂、着色剂、染发剂等肯定列表的原料，可免予风险评估。同时，凡化妆品安全风险评估机构或国外权威机构已公布风险评估结论的原料，需对相关评估资料进行分析，在符合我国化妆品相关法规规定的情况下，可采用相关评估结论。
（三）保持动态更新。随着科学技术的进步和人们认知水平的提高，《指南》将持续更新危害识别的试验方法，提高风险特征鉴定的水平和预见性，使风险管理处于合理可控的水平。
三、主要内容
本《指南》共九部分，分别对《指南》适用范围、基本
原则与要求、安全风险评估人员的要求、风险评估程序、毒理学研究、化妆品原料风险评估、化妆品产品安全性评价、安全风险评估报告进行了明确，并提供了相关术语和释义。同时，《指南》附录中提供了化妆品原料风险评估报告和化妆品产品安全性评价报告的式样。
四、需要重点说明的问题
（一）关于安全风险评估暴露量参考值。我国消费者的化妆品使用暴露量需要经过专项调查研究方可得出。《指南》暂未列出我国化妆品消费暴露参考值，开展风险评估时可参考国际相关权威机构发布的相关暴露量数据。下一步，食品药品监管总局将组织开展针对我国消费者化妆品使用暴露量的调研工作，相关参考值公布后，应当以我国消费者数据为准。
（二）关于《指南》的适用范围。本《指南》是指导化妆品生产企业科学开展化妆品安全风险评估的技术性文件，不作为化妆品监督执法的依据。企业应当对其生产的化妆品的安全性负责，如果企业尚不具备对产品进行充分的安全风险评估能力，可以采用传统方式评价产品的安全性。
安全风险评估报告解析
编制单位：深圳坪盐通道锦龙立交一标项目部 编制人： 审批人： 编制时间： 颁布时间： 中铁二十一局集团路桥有限公司
一、编制依据 1、《公路桥梁和隧道工程施工安全风险评估指南》（试行）交质监发【2011】217号； 2、交通部颂发的《公路工程标准施工招标文件（2009年版）》、现行《公路工程技术标准》、现行《公路隧道施工技术规范》、现行《公路工程施工安全技术规程》等相关规范； 3、《公路施工手册》、现行《工程建设标准强制性条文·公路工程部分》； 4、现场踏勘调查、搜集的实地资料； 5、我单位在类似工程中的施工经验和相关工程的技术总结、工法成果等。 6、依据以上文件、规范、标准及工程实地勘察情况，结合我公司现有技术装备、施工能力、管理水平，以及多年从事复杂地形地质条件隧道施工的丰富经验，并针对本工程施工特点，以“保质量、保工期、保安全、创精品”为目标，编制本梅岭隧道施工安全总体风险评估报告。 二、工程概况 坪盐通道工程位于深圳市东部地区，基本呈南北走向连接坪山新区与盐田区，工程设计范围跨越坪山、盐田两区，北起坪山新区现状锦龙大道---中山大道交叉口，南至盐田区盐坝高速、规划盐港东立交，路线全长约11.24km，道路等级为城市快速路，设计速度为80km/h,双向6车道，全线共设大型立交两座，特长隧道一座，（马峦山隧道、左右线隧道长度越7.9km），桥梁多座（桥梁总面积约12万㎡）。 （三）、公路设计技术标准
1、公路等级： 2、隧道设计行车速度：80km/h； 3、隧道建筑限界： 4、洞内路面设计荷载： 5、行车方式：双向行车； 6、通风方式：机械通风； 7、隧道防水等级： （四）、桥梁设计技术标准 1、设计基准期： 2、设计荷载： 3、地震动峰值：根据《中国地震动峰值加速度区划图》（GB18306-2001）场地地震动峰加速度（a）＜0.05g，对应于地震基本烈度﹤6度。按6度设防； 4、桥面全宽： 5、斜交角: （五）、工程地质概况 1、地层岩性 根据区域地质、野外工程地质调查与测绘和钻孔揭露资料，并结合室内试验结果，隧址区地层可划分为第四系松散堆积物（Q4）和奥陶系新岭组（O3x）基岩。 (1)第四系松散堆积物（Q4） 第四系残、坡积层（Q4e1+d1）：主要由灰色、黄灰色角砾石（含碎石、块石）混低液限粘土、低液限粘土混角砾石、低液限粘土组成，分布于山坡、山谷及基岩区表层，工程性质较差。 (2)奥陶系新岭组（O3x）
信息安全风险评估报告
1111单位:1111系统安全项目信息安全风险评估报告 我们单位名 日期
报告编写人: 日期： 批准人：日期： 版本号：第一版本日期 第二版本日期 终板
目录 1概述 (5) 1.1项目背景 (5) 1.2工作方法 (5) 1.3评估范围 (5) 1.4基本信息 (5) 2业务系统分析 (6) 2.1业务系统职能 (6) 2.2网络拓扑结构 (6) 2.3边界数据流向 (6) 3资产分析 (6) 3.1信息资产分析 (6) 3.1.1信息资产识别概述 (6) 3.1.2信息资产识别 (7) 4威胁分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 4.4威胁识别 (9) 5脆弱性分析 (9) 5.1脆弱性分析概述 (9) 5.2技术脆弱性分析 (10) 5.2.1网络平台脆弱性分析 (10) 5.2.2操作系统脆弱性分析 (10) 5.2.3脆弱性扫描结果分析 (10) 5.2.3.1扫描资产列表 (10) 5.2.3.2高危漏洞分析 (11) 5.2.3.3系统帐户分析 (11) 5.2.3.4应用帐户分析 (11)
5.3管理脆弱性分析 (11) 5.4脆弱性识别 (13) 6风险分析 (14) 6.1风险分析概述 (14) 6.2资产风险分布 (14) 6.3资产风险列表 (14) 7系统安全加固建议 (15) 7.1管理类建议 (15) 7.2技术类建议 (15) 7.2.1安全措施 (15) 7.2.2网络平台 (16) 7.2.3操作系统 (16) 8制定及确认................................................................................................................. 错误!未定义书签。9附录A：脆弱性编号规则.. (17)
信息安全风险评估方法
从最开始接触风险评估理论到现在，已经有将近5个年头了，从最开始的膜拜捧为必杀技，然后是有一阵子怀疑甚至预弃之不用，到现在重拾之，尊之为做好安全的必备法宝，这么一段起起伏伏的心理历程。对风险的方法在一步步的加深，本文从风险评估工作最突出的问题：如何得到一致的、可比较的、可重复的风险评估结果，来加以分析讨论。 1. 风险评估的现状 风险理论也逐渐被广大信息安全专业人士所熟知，以风险驱动的方法去管理信息安全已经被大部分人所共知和接受，这几年国内等级保护的如火如荼的开展，风险评估工作是水涨船高，加之国内信息安全咨询和服务厂商和机构不遗余力的推动，风险评估实践也在不断的深入。当前的风险评估的方法主要参照两个标准，一个是国际标准《ISO13335信息安全风险管理指南》和国内标准《GB/T 20984-2007信息安全风险评估规范》，其本质上就是以信息资产为对象的定性的风险评估。基本方法是识别并评价组织/企业内部所要关注的信息系统、数据、人员、服务等保护对象，在参照当前流行的国际国内标准如ISO2700 2,COBIT，信息系统等级保护，识别出这些保护对象面临的威胁以及自身所存在的能被威胁利用的弱点，最后从可能性和影响程度这两个方面来评价信息资产的风险，综合后得到企业所面临的信息安全风险。这是大多数组织在做风险评估时使用的方法。当然也有少数的组织/企业开始在资产风险评估的基础上，在实践中摸索和开发出类似与流程风险评估等方法，补充完善了资产风险评估。 2. 风险评估的突出问题 信息安全领域的风险评估甚至风险管理的方法是借鉴了银行业成熟的风险管理方法，银行业业务风险管理的方法已经发展到相当成熟的地步，并且银行业也有非常丰富的基础数据支撑着风险分析方法的运用。但是，风险评估作为信息安全领域的新生事物，或者说舶来之物，尽管信息安全本身在国内开展也不过是10来年，风险评估作为先进思想也存在着类似“马列主义要与中国的实际国情结合走中国特色社会主义道路”的问题。风险评估的定量评估方法缺少必要的土壤，没有基础的、统计数据做支撑，定量风险评估寸步难移;而定性的风险评估其方法的本质是定性，所谓定性，则意味着估计、大概，不准确，其本质的缺陷给实践带来无穷的问题，重要问题之一就是投资回报问题，由于不能从财务的角度去评价一个/组风险所带来的可能损失，因此，也就没有办法得到投资回报率，尽管这是个问题，但是实践当中，一般大的企业都会有个基本的年度预算，IT/安全占企业年度预算的百分之多少，然后就是反正就这么些钱，按照风险从高到低或者再结合其他比如企业现有管理和技术水平，项目实施的难易度等情况综合考虑得到风险处理优先级，从高到低依次排序，钱到哪花完，风险处理今年就处理到哪。这方法到也比较具有实际价值，操作起来也容易，预算多的企业也不怕钱花不完，预算少的企业也有其对付办法，你领导就给这么些钱，哪些不能处理的风险反正我已经告诉你啦，要是万一出了事情你也怪不得我，没有出事情，等明年有钱了再接着处理。
信息安全风险评估方案教程文件
信息安全风险评估方 案
第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部
公路桥梁工程施工安全风险评估指南
公路桥梁工程 施工安全风险评估指南 二O一O年十一月
前言 《公路桥梁工程施工安全风险评估指南》（简称《指南》）旨在指导和规范全国公路桥梁工程施工风险评估工作开展，预防施工安全生产事故发生，提高工程施工安全水平。 本《指南》结合我国公路桥梁工程建设实际情况，提出桥梁工程施工风险评估的具体方法和流程，按总体安全风险评估和专项安全风险评估两个层次开展，其中专项安全风险评估分一般风险源及重大风险源两类。 本《指南》共7章，包括：总则、术语、总体风险评估、专项风险评估、专项风险估测方法、安全风险控制、安全风险评估报告编制。
目次 1 总则.................................................. 错误!未定义书签。 2 术语.................................................. 错误!未定义书签。 3 总体风险评估.......................................... 错误!未定义书签。 一般要求.............................................. 错误!未定义书签。 桥梁工程安全风险总体评估.............................. 错误!未定义书签。 4 专项风险评估.......................................... 错误!未定义书签。 一般要求.............................................. 错误!未定义书签。 风险源辨识流程........................................ 错误!未定义书签。 辨识方法.............................................. 错误!未定义书签。 风险估测.............................................. 错误!未定义书签。 5 专项风险估测方法...................................... 错误!未定义书签。 一般规定............................................. 错误!未定义书签。 一般风险源风险估测方法 ............................... 错误!未定义书签。 重大风险源风险估测方法 ............................... 错误!未定义书签。 6 安全风险控制.......................................... 错误!未定义书签。 一般规定.............................................. 错误!未定义书签。 风险控制管理......................................... 错误!未定义书签。 7 风险评估报告编制...................................... 错误!未定义书签。附录A重大风险源辨识与评估常用表 ........................ 错误!未定义书签。附录B施工作业活动与风险事故对照表 ...................... 错误!未定义书签。附录C 作业活动分解...................................... 错误!未定义书签。附录D 专家调查法........................................ 错误!未定义书签。附录E 施工评估报告格式.................................. 错误!未定义书签。附录F案例.. (46)
信息安全风险评估方案
第一章网络安全现状与问题 目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而
信息安全风险评估报告
附件： 国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
信息安全技术_公共基础设施_PKI系统安全等级保护技术要求
信息安全技术公共基础设施PKI系统安全等级保护技术要求 引言 公开密钥基础设施（PKI）是集机构、系统（硬件和软件）、人员、程序、策略和协议为一体，利用公钥概念和技术来实施和提供安全服务的、具有普适性的安全基础设施。PKI系统是通过颁发与管理公钥 证书的方式为终端用户提供服务的系统，包括CA、RA、资料库等基本逻辑部件和OCSP等可选服务部件以及所依赖的运行环境。 《PKI系统安全等级保护技术要求》按五级划分的原则，制定PKI系统安全等级保护技术要求，详细说明了为实现GB/T AAA—200×所提出的PKI系统五个安全保护等级应采取的安全技术要求、为确保这些安全技术所实现的安全功能能够达到其应具有的安全性而采取的保证措施，以及各安全技术要求在不同安全级中具体实现上的差异。第一级为最低级别，第五级为最高级别，随着等级的提高，PKI系统安全等级保护的要求也随之递增。正文中字体为黑体加粗的内容为本级新增部分的要求。 信息安全技术公钥基础设施 PKI系统安全等级保护技术要求 1 范围 本标准依据GB/T AAA—200×的五个安全保护等级的划分，规定了不同等级PKI系统所需要的安全技术要求。 本标准适用于PKI系统的设计和实现，对于PKI系统安全功能的研制、开发、测试和产品采购亦可参照使用。 2 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，提倡使用本标准的各方探讨使用其最新 版本的可能性。凡是不注日期的引用文件，其最新版本适用于本标准。 GB/T 19713-2005 信息安全技术公钥基础设施在线证书状态协议 GB/T 20271-2006 信息安全技术信息系统通用安全技术要求 GB/T 20518-2006 信息安全技术公钥基础设施数字证书格式 GB/T 21054-2007 信息安全技术公钥基础设施PKI系统安全等级保护评估准则 GB/T 21052-2007 信息安全技术信息系统物理安全技术要求 GB/T20984-2007 信息安全技术信息安全风险评估指南 3 术语和定义 下列术语和定义适用于本标准。 3.1 公开密钥基础设施（PKI）public key infrastructure (PKI) 公开密钥基础设施是支持公钥管理体制的基础设施，提供鉴别、加密、完整性和不可否认性服务。 3.2 PKI系统PKI system PKI系统是通过颁发与管理公钥证书的方式为终端用户提供服务的系统，包括CA、RA、资料库等基本逻辑部件和OCSP等可选服务部件以及所依赖的运行环境。 3.3
信息安全风险评估服务
1、风险评估概述 1.1风险评估概念 信息安全风险评估是参照风险评估标准和管理规，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、标准《信息系统安全等级评测准则》等法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等面存在的脆弱性为诱因的信息安全风险评估综合法及操作模型。 1.2风险评估相关 资产，任对组织有价值的事物。 威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。 脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。 风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。
风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的法，去顶资产风险等级和优先控制顺序。 2、风险评估的发展现状 2.1信息安全风险评估在美国的发展 第一阶段（60-70年代）以计算机为对象的信息保密阶段1067年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作为第一次比较大规模的风险评估。 特点： 仅重点针对了计算机系统的保密性问题提出要求，对安全的评估只限于保密性，且重点在于安全评估，对风险问题考虑不多。 第二阶段（80-90年代）以计算机和网络为对象的信息系统安全保护阶段 评估对象多为产品，很少延拓至系统，婴儿在格意义上扔不是全面的风险评估。 第三阶段（90年代末，21世纪初）以信息系统为对象的信息保障阶段 随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力明确来源于技术、管理和人员三个面；逐步形成了风险评估、自评估、认证认可的工作思路。
信息安全风险评估报告51753
XXXXX公司 信息安全风险评估报告 历史版本编制、审核、批准、发布实施、分发信息记录表
一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与 服务的企业。 3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。 4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。
二. 风险评估目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。 三. 风险评估日期： 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。 五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组； 2、通过咨询公司对风险评估小组进行相关培训； 3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方 法； 4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产 清单； 5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级； 6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施； 7、对于可接受的剩余风险向公司领导汇报并得到批准。 六. 风险评估概况 根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。主要工作过程如下： 1.2017-9-10 ~ 2017-9-10，风险评估培训； 2.2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法；
术公司信息安全风险评估管理办法
**信息安全风险评估管理办法 目录 总则 为确保**网络及信息系统安全、高效、可控的运行，提高业务系统安全运行能力，全面降低信息安全风险，特制定本管理办法。 组织与责任 信息安全管理组负责信息安全风险评估的具体实施。 技术支撑部门协助信息安全管理执行组的信息安全风险评估工作，并且实施信息安全管理执行组通过风险评估后提供的解决方案与建议。 其他部门协助信息安全管理执行组开展信息安全风险评估工作。 信息安全风险评估规定
弱点分析 概述 弱点评估是安全风险评估中最主要的内容。弱点是信息资产本身存在的，它可以被威胁利用、引起资产或商业目标的损害。弱点包括物理环境、组织、过程、人员、管理、配置、硬件、软件和信息等各种资产的弱点。 弱点检查 信息安全管理组应定期对集团IT系统进行全面的信息安全弱点检查，了解各IT系统的信息安全现状。 IT系统安全检查的范围包括：主机系统、网络设备、安全设备、数据库系统、应用系统、邮件系统以及其它在用系统。 IT系统安全检查的工具与方法如下： 1. 工具检查：针对IT设备建议采用专用的脆弱性评估工具进行检查，如Nessus、 BurpSuite等工具，针对应用系统及代码安全检查，建议采用商业专用软件进行检查， 如IBM AppScan。 2. 手工检查：由信息安全专员或技术支撑部门相关人员参照相关的指导文档上机进行手 工检查。 信息安全检查工作开展前，信息安全管理组需制定安全检查计划，对于部分可用性要求高的业务系统或设备，计划中要明确执行的时间，并且该计划要通知相关部门与系统维护人员，明确相关人员的及部门的职责与注意事项。 信息安全管理组与外服公司针对信息安全检查须制定《安全检查方案》，方案中，针对工具扫描部分需明确扫描策略，同时方案必须提供规避操作风险的措施与方法。并且该方案必须获得技术支撑部领导批准。 信息安全管理组应对IT系统安全检查的结果进行汇总，并进行详细分析，提供具体的安全解决建议，如安全加固、安全技术引进等。 当发生重大的信息安全事件，信息安全管理组应在事后进行一次全面的安全检查，并通过安全检查结果对重要的安全问题进行及时解决。 常见的弱点种类分为： 1. 技术性弱点：系统，程序，设备中存在的漏洞或缺陷，比如结构设计问题或编程 漏洞；
安全风险评估
武云高速南水北调斜拉桥施工安全风险评估报告 2014年5月22日
武云高速南水北调斜拉桥施工安全风险评估报告 编制单位：河南省公路工程局 评估小组负责人： 日期：2014年5月22日
目录 一、编制依据 .............................................................................................. - 0 - 1、国家有关法律法规.................................................................................................................. - 0 - 2、工程项目的有关技术文件资料.............................................................................................. - 0 - 3、主要规范标准.......................................................................................................................... - 1 - 4、评估对象目标及范围.............................................................................................................. - 1 - 评估对象................................................................................................................................ - 1 -评估范围................................................................................................................................ - 1 -评估目的................................................................................................................................ - 2 - 二、工程概况 .............................................................................................. - 2 - 1、工程规模.................................................................................................................................. - 2 - 2、地形地貌.................................................................................................................................. - 3 - 3、气候特征.................................................................................................................................. - 3 - 4、水文条件.................................................................................................................................. - 3 - 5、工程地质.................................................................................................................................. - 4 - 6、施工组织综述.......................................................................................................................... - 4 - 7、工程特点与难点...................................................................................................................... - 5 - 三、评估过程和评估方法 .......................................................................... - 6 - 四、评估内容： .......................................................................................... - 6 - 1、总体风险评估.......................................................................................................................... - 6 - 2、专项风险评估.......................................................................................................................... - 8 - 、施工作业分解.................................................................................................................... - 9 -、风险源普查........................................................................................................................ - 9 -、风险源分析...................................................................................................................... - 16 -、风险估测.......................................................................................................................... - 28 -、重大风险源风险估测...................................................................................................... - 39 - 五、对策措施与建议 ................................................................................ - 42 - 六、评估结论 ............................................................................................ - 46 - 1、重大风险源风险等级汇总.................................................................................................... - 46 - 2、分析评估结果的科学性、可行性、合理性及存在问题.................................................... - 46 -
信息安全风险评估方案.doc
第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而
化妆品安全风险评估指南
附件1： 化妆品安全风险评估指南 （征求意见稿） 目录
化妆品安全风险评估指南 为保证消费者的健康安全，识别和控制化妆品安全风险，制定本指南。 1. 适用范围 适用于化妆品原料的风险评估和产品的安全评价，包括由原料或产品生产过程中不可避免带入的安全性风险物质的风险评估。 2. 基本原则与要求 化妆品一般可认为是各种原料的组合，原料的安全性是化妆品安全的前提条件。化妆品的安全性评价应基于所有原料和风险物质的风险评估。如果确认某些原料之间存在化学、生物学等相互作用的，应该对其产生的风险物质进行评估。 化妆品安全性评价应以现有科学数据和相关信息为基础，遵循科学、公正、透明和个案处理的原则，在实施过程中应保证风险评估工作的独立性。 化妆品的安全风险评估工作由具有相应资质的安全风险评估人员按照本指南的要求进行评价，并出具风险评估报告。 化妆品产品的安全风险评估资料应当及时更新，并保留至最后一批上市产品保质期结束以后10年。 化妆品安全风险评估报告结论不足以排除产品对人体健康存在风险的，应当采用传统毒理学试验方法进行产品安全性评价。
3.化妆品安全风险评估人员的要求 化妆品安全风险评估人员应符合以下要求： 具有化妆品专业知识基础，了解化妆品生产过程和质量安全控制要求； 能够查阅和分析毒理学信息，具有分析、评价和解释毒理学数据的能力； 能够公平、客观的分析化妆品的安全性，在全面分析所有可获得的数据和暴露条件的基础上，开展风险评估工作； 应当具有医学、药学、化学、毒理学或者类似学科的专业基础，取得大学本科以上文凭或其他正式资格证明，并具有5年以上相关专业从业经历。 应当定期接受相应的专业培训。应当不断深入学习风险评估的知识，了解和掌握新的风险评估方法，掌握化妆品安全风险评估的信息。 4.风险评估程序 化妆品原料和风险物质的风险评估程序分为以下四个步骤： 危害识别 基于毒理学试验、临床研究、不良反应监测、和人类流行病学研究的结果，从原料或风险物质的物理、化学和毒理学本质特征来确定其是否对人体健康存在潜在危害。 化妆品健康危害效应
信息安全风险评估.doc
***软件有限公司 信息安全风险评估指南 变更记录
信息安全风险评估指南 1、本指南在编制过程中主要依据了国家政策法规、技术标准、规范与管理要求、行业标 准并得到了无锡新世纪信息科技有限公司的大力支持。 1.1政策法规： ?《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）?《国家网络与信息安全协调小组关于开展信息安全风险评估工作的意见》（国信办 [2006]5号） 1.2国际标准： ?ISO/IEC 17799：2005《信息安全管理实施指南》 ?ISO/IEC 27001：2005《信息安全管理体系要求》 ?ISO/IEC TR 13335《信息技术安全管理指南》 1.3国内标准： ?《信息安全风险评估指南》（国信办综[2006]9号） ?《重要信息系统灾难恢复指南》（国务院信息化工作办公室2005年4月） ?GB 17859—1999《计算机信息系统安全保护等级划分准则》 ?GB/T 18336 1-3：2001《信息技术安全性评估准则》 ?GB/T 5271.8--2001 《信息技术词汇第8部分：安全》 ?GB/T 19715.1—2005 《信息技术安全管理指南第1部分：信息技术安全概念和 模型》 ?GB/T 19716—2005 《信息安全管理实用规则》 1.4其它 ?《信息安全风险评估方法与应用》（国家863高技术研究发展计划资助项目 (2004AA147070)） 2、风险评估 2.1、风险评估要素关系模型 风险评估的出发点是对与风险有关的各因素的确认和分析。下图中方框部分的内容为风险评估的基本要素，椭圆部分的内容是与这些要素相关的属性，也是风险评估要素的一部分。风险评估的工作是围绕其基本要素展开的，在对这些要素的评估过程中需要充分考虑业务战略、资产价值、安全事件、残余风险等与这些基本要素相关的各类因素。如下模
公路桥梁和隧道工程设计安全风险评估指南无水印版
附件 公路桥梁和隧道工程设计安全风险评估指南 (试行)
目录 1 总则................................................................... (1) 2 术语................................................................... (2) 3 安全风险等级确定................................................................... (5) 3.1 风险发生概率等级与判断标 准................................................................ (5) 3.2 风险损失等级与判断标 准................................................................ (5) 3.3 风险等级的确 定................................................................ (6) 4 评估方法................................................................... (7) 4.1 风险源的评估方 法................................................................ (7) 4.2 风险源发生概率的评估方 法................................................................ (8) 4.3 风险损失的评估方 法................................................................ (9) 4.4 风险等级的评估方 法................................................................ (9) 5 安全风险评估程序与要求................................................................... (10) 5.1 评估程 序................................................................ (10)