ISO27001信息安全风险评估指南
2019年最新的ISO27001-2018信息安全风险评估表(ISMS信息安全风险评估)
通过服务器备份数据
2
3
30
3
控制
增加专业数据备份系统，对数据进行实时备份
5
1
1
5
1
接受
瘟疫、火灾、爆炸、雷击、恐怖袭击等
缺乏应急机制
文件信息丢失，人事工作开展困难
5
对重要数据进行定期移动硬盘备份，设置放雷机制
1
2
10
1
接受
自然灾难：地震、洪水、台风
缺乏应急机制
文件信息丢失，人事工作开展困难
5
对重要数据进行定期移动硬盘备份
不正确的废弃
人员缺乏安全意识
文件信息外泄
5
进行员工信息安全意识培训，
1
2
10
1
接受
瘟疫、火灾、爆炸、雷击、恐怖袭击等
缺乏应急机制
文件信息丢失，人事工作开展困难
5
设置必要的放火，放雷机制
2
3
30
3
接受
自然灾难：地震、洪水、台风
缺乏应急机制
文件信息丢失，人事工作开展困难
5
对重要数据进行定期移动硬盘备份
1
公司销售信息被竞争对手获得，业务无法开展
5
通过域控，系统密码控制，严格控制访问权限
SL-DATA-022
供应商合作协议书
采购合同
代理合同
厂商报价
合同
未经授权使用、访问、复制
缺乏物理防护机制
供应商信息被客户或竞争对手获得，供应商投诉或业务无法开展
5
合同报价等资料放在上锁的文件柜中
1
2
10
1
接受
瘟疫、火灾、爆炸、雷击、恐怖袭击等
缺乏应急机制
ISO27001风险评估实施流程（详细版）
ISO27001风险评估实施流程（详细版）ISO27001风险评估实施流程第⼀章：风险评估概念名词定义：风险：在信息安全领域，风险（Risk），就是指信息遭受损坏并给企业带来负⾯影响的潜在可能性。
风险评估（Risk Assessment）：包括风险识别、风险分析和风险评价在内的全部过程。
风险管理（Risk Management）：就是以可接受的代价、识别、控制、减少或消除可能影响信息的安全风险的过程。
风险的来源：如下图：风险评估的作⽤如下图：风险管理的原则如下图：第⼆章：风险评估的实施步骤1、风险评估过程根据ISO31000或者ISO27005标准进⾏风险评估实施过程的对标，并通过环境构建、风险识别、风险分析、风险评价、风险处置进⾏整个风险评估的过程，具体如下图：2、风险评估过程-环境构建环境构建：建⽴组织，明确风险评估⽬标、界定风险管理应该考虑的外部和内部参数、并设置风险管理过程的范围和风险准则。
主要任务：①确定风险评估的范围及对象②制定组织的风险接受准则评估⽬标信息资产：任何对组织具有价值的包含信息的东西，包括计算机硬件、通讯设施、数据库、⽂件信息、软件、信息服务和⼈员等、所有这些资产都需要妥善保护风险准则评价风险重要程度的依据：- 体现了组织的风险承受度、反映组织的价值观、⽬标和资源；- 风险准则直接或者间接反映了法律和法规要求或其他需要组织遵循的要求；- 风险准则应当与组织的风险管理⽅针⼀致。
2、风险评估过程-风险识别风险识别：风险源单独或联合具有内在的潜在引起危险的因素风险源数据库:提供风险依据，风险源的标准来源于ISO/IEC 27001中的114个控制措施风险识别表通过访谈、调查问卷、现场检查的⽅式来评估各类资产的管控现状，并将调研得到的信息汇总成为风险识别表3、风险评估过程-风险分析风险分析：系统的运⽤相关信息来确认风险的来源并对风险进⾏估计：说明：风险分析要考虑导致风险的原因和风险源，风险事件的正⾯和负⾯的后果及其发⽣的可能性。
ISO27001：2013运营部信息安全风险评估记录
存储介质故障
无备份安全策略
4
2
3
4
7
14
开发库其他文档
5
数据泄密
无访问控制
5
5
4
4
8
40
受控库其他文档
5
数据泄密
无访问控制
5
5
4
4
8
40
产品库其他文档
5
数据泄密
无访问控制
5
5
4
4
8
40
delphi
10
运行错误,无法使用
未及时打补丁
5
10
3
3
6
60
Sql server 2000
10
运行错误,无法使用
风险评估记录
部门：运营部
资产名称
重要度
面临威胁
脆弱性
暴露
影响①
容易度
措施
可能性②
风险
有效
① X ②
台式计算机
10
病毒感染
无杀毒软件
3
6
2
3
5
30
10
数据损坏丢失
无备份策略
5
10
4
3
7
70
10
数据泄密
无口令策略
4
8
4
4
8
64
服务器
10
非授权访问
配置被修改
4
8
4
4
8
64
10
病毒感染
无杀毒软件
3
6
2
3
5
30
10
进水
硬件损坏系统无法正常运行
2
信息安全风险评估管理程序ISO27001
1.目的在ISMS 覆盖范围内对信息安全现行状况进行系统风险评估，形成评估报告，描述风险等级，识别和评价供处理风险的可选措施，选择控制目标和控制措施处理风险。
2.范围在ISMS 覆盖范围内主要信息资产3.职责3.1各部门负责部门内部资产的识别，确定资产价值。
3.2ISMS小组负责风险评估和制订控制措施和信息系统运行的批准。
4.内容4.1资产的识别4.1.1各部门每年按照管理者代表的要求负责部门内部资产的识别，确定资产价值。
4.1.2资产分类根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类。
4.1.3资产赋值资产赋值就是对资产在机密性、完整性和可用性上的达成程度进行分析，选择对资产机密性、完整性和可用性最为重要（分值最高）的一个属性的赋值等级作为资产的最终赋值结果。
资产等级划分为五级，分别代表资产重要性的高低。
等级数值越大，资产价值越高。
1）机密性赋值根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的应达成的不同程度或者机密性缺失时对整个组织的影响。
2）完整性赋值根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。
3）可用性赋值根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
3分以上为重要资产，重要信息资产由IT 部门确立清单4.2威胁识别4.2.1威胁分类对重要资产应由ISMS小组识别其面临的威胁。
针对威胁来源，根据其表现形式将威胁分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、黑客攻击技术、物理攻击、泄密、篡改和抵赖等。
4.2.2威胁赋值评估者应根据经验和（或）有关的统计数据来判断威胁出现的频率。
威胁频率等级划分为五级，分别代表威胁出现的频率的高低。
等级数值越大，威胁出现的频率越高。
威胁赋值见下表。
ISO27001风险评估指引
风险评估方法指引——信息资产识别&重要性评估
（1）识别关键业务过程
⏹关键业务活动的定义:
Ø本部门的主要业务职能
Ø所提供的主要产品和服务
Ø从事或开展的主要业务活动
（2）识别信息资产&重要性评估
⏹敏感数据流分析的原则：确定为个人隐私数据的信息需要做敏感数据流分析
⏹个人隐私数据：可以定位到具体某个人的一组信息
⏹资产责任岗位：业务过程中承担资产损失后果的岗位
⏹“移动办公设备”中应分开识别台式电脑、手提电脑、私人电脑、智能手机等，不要
写在同一行，否则会不知道是在针对哪个资产做的重要性评估。
其他类别资产同理
⏹做《资产识别评估表》中“【A】客户信息资料”、“【B】公司内部信息资产”的资
产识别时，要把所有“关键业务过程”都罗列进去，分别识别。
若某些“关键业务
过程”没有该类别资产，也不要删除此“关键业务过程”，以此表示此“关键业务
过程”没有该类资产。
⏹《资产识别评估表》中“【C】人员”的“关键信息资产细项”填写信息进行讨论，
最后确定调整修订为“岗位职责说明”。
⏹资产清单中从I到M类的资产各职能部门不用填写，统一由共享服务事业部-员工共享
服务部、IT部梳理。
⏹关于“N支持性服务”的梳理原则：暂时只针对外部供应商提供的服务进行梳理（以
集团为范围），7月认证通过后建议考虑集团内部的支持性服务识别。
（3）个人敏感数据流分析
⏹涉及个人敏感数据、且重要性为中以上（含中等）的信息资产，需要完成敏感数据流
分析。
第2页共2页。
ISO27001风险评估实施流程(详细版)
配置检测工具
对检测工具进行配置，确保其能够正常工作 。
分析检测结果
对检测结果进行分析，识别潜在的风险和漏 洞。
专家评审
01
确定评审专家
根据评估需求，确定具有相关经验 和专业知识的评审专家。
进行评审
按照评审计划进行评审，记录评审 内容。
03
02
制定评审计划
制定详细的评审计划，包括评审时 间、地点、内容等。
通过风险评估，组织可以及时发现潜在的威胁和脆弱性，避免 或减少安全事件的发生。
根据风险等级，组织可以合理分配安全资源，提高资源利用效 率。
风险评估过程可以促进组织内部员工对信息安全的认识和重视 ，提高整体安全意识。
通过实施符合ISO27001标准的风险评估，组织可以满足相关法 规和政策对信息安全的要求，提升组织合规性。
信息收集
通过访谈、问卷调查、文档审查等方式 收集相关信息，包括系统的技术架构、
安全策略、管理制度等。
风险分析
对识别出的风险进行分析，评估其发 生的可能性和影响程度，确定风险等
级。
风险识别
利用风险识别方法，如头脑风暴、威 胁建模等，识别潜在的安全威胁和漏 洞。
风险处置
根据风险分析结果，制定相应的风险 处置措施，如风险接受、风险降低、 风险转移等。
制定访谈计划
制定详细的访谈计划，包括访谈时间、地点、内容等。
进行访谈
按照访谈计划进行访谈，记录访谈内容。
分析访谈结果
对访谈结果进行分析，识别潜在的风险和漏洞。
工具检测
选择检测工具
根据评估需求，选择适合的检测工具，如漏 洞扫描工具、入侵检测工具等。
运行检测工具
运行检测工具，对目标系统进行全面的检测 。
ISO27001-风险评估方法与准则
2
发生频率为每年1次
低
1
a.较难被利用
b.导致资产部分破坏（保密性、可用性和完整性）
低
1
发生频率为多年1次
风险等级
风险值 ＝ 资产价值 × 弱点严重性 × 威胁可能性
弱点严重性
1
2
3
威胁可能性
1
2
3
1
2
3
1
2
3
资产价值
1
1
2
3
2
4
6
36922464
8
12
6
12
18
3
3
6
9
6
12
18
9
18
27
风险等级
维护人员、用户
业务数据，应用系统
系统缺陷、运行管理缺陷
R06
业务信息泄漏
用户
业务数据
运行管理流程缺陷
R07
攻击
恶意人员
应用系统，业务数据
系统缺陷，网络缺陷
R08
操作抵赖
维护人员，用户
应用系统，业务数据
操作记录
R09
越权访问
用户
应用系统，业务数据
系统配置缺陷
R10
设备物理破坏
恶意人员
应用系统，业务数据
操作员误删除数据
操作员操作失误
缺少安全意识
误操作
保管不善、没有设置访问密码，访问权限设置不当
被人利用
缺少备份
可能会被恶意软件或火灾这一威胁所利用
4
人员
人员缺席
可能会被缺少员工这一威胁所利用
对外部人员和清理人员的工作不进行监督
可能会被偷窃这一威胁所利用
ISO27001信息安全风险评估报告
信息安全风险评估报告编号：SR-QP-07-5一、 风险评估目的通过信息安全风险评估能够全面的发现公司及信息系统存在的脆弱性及面临的威胁，并识别出公司存在的信息安全风险，并找到最合适的控制措施来对风险进行控制，以降低风险，达到提高公司信息安全水平的目的。
二、 风险评估范围及时间1、评估涉及的部门本次风险评估是公司组织的第一次风险评估，评估范围涉及信息安全体系范围内的所有相关部门。
2、评估涉及的流程或系统本次风险评估涉及公司研发、销售及信息管理等方面的流程和系统及其信息资产。
3、评估时间本次评估时间为：2020.6.10-2020.6.27。
三、 风险评估小组成员参与本次评估的人员包括各部门负责人、信息安全项目组成员。
四、 风险评估过程及方法评估小组采用定性和定量相结合的方法对公司各方面进行评估。
评估流程如下：1、资产识别：1) 识别在评估范围内的资产。
对于在范围内的每一项资产都要恰当统计；不在本次评估范围内的资产，也要进行记录；2)要注意资产之间的关联，有时候关联和资产本身同等重要；3)按一定的标准，将信息资产进行恰当的分类，在此基础上进行下一步的风险评估工作。
2、资产价值评估：对资产等级进行定义，并表示成相对等级的形式，详细请参见《风险评估方法与准则》。
决定资产重要度时，需要考虑：1)不仅要考虑资产的成本价格，也要考虑资产对于组织业务的安全重要性，即根据资产损失所引发的潜在的影响来决定；2)为确保资产重要度的一致性和准确性，建立一个标准的尺度，以明确如何对资产的重要度进行评估。
3)分析和评价资产受到侵害后的保密性、完整性、可用性、业务影响，通过对四个属性（保密性、完整性、可用性、业务影响）进行赋值，并求和的方式，确定出资产的重要度等级。
3、资产面临的威胁、威胁可以利用的脆弱性的评估：1)分析本公司的信息系统存在威胁。
2)综合威胁来源、种类和其他因素后得出威胁列表；3)针对每一项需要保护的信息资产，找出可能面临的威胁。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全风险评估指南
1、本指南在编制过程中主要依据了国家政策法规、技术标准、规范与管理要求、行业标准并得到了无锡
新世纪信息科技有限公司的大力支持。
1.1政策法规：
✧《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）
✧《国家网络与信息安全协调小组关于开展信息安全风险评估工作的意见》（国信办[2006]5号）
1.2国际标准：
✧ISO/IEC 17799：2005《信息安全管理实施指南》
✧ISO/IEC 27001：2005《信息安全管理体系要求》
✧ISO/IEC TR 13335《信息技术安全管理指南》
1.3国内标准：
✧《信息安全风险评估指南》（国信办综[2006]9号）
✧《重要信息系统灾难恢复指南》（国务院信息化工作办公室2005年4月）
✧GB 17859—1999《计算机信息系统安全保护等级划分准则》
✧GB/T 18336 1-3：2001《信息技术安全性评估准则》
✧GB/T 5271.8--2001 《信息技术词汇第8部分：安全》
✧GB/T 19715.1—2005 《信息技术安全管理指南第1部分：信息技术安全概念和模型》
✧GB/T 19716—2005 《信息安全管理实用规则》
1.4其它
✧《信息安全风险评估方法与应用》（国家863高技术研究发展计划资助项目(2004AA147070)）
2、风险评估
2.1、风险评估要素关系模型
风险评估的出发点是对与风险有关的各因素的确认和分析。
下图中方框部分的内容为风险评估的基本要素，椭圆部分的内容是与这些要素相关的属性，也是风险评估要素的一部分。
风险评估的工作是围绕其基本要素展开的，在对这些要素的评估过程中需要充分考虑业务战略、资产价值、安全事件、残余风险等与这些基本要素相关的各类因素。
如下模型表示了各因素的关系：
业务战略
资产资产价值
安全需求残余风险安全事件脆弱性威胁风险安全措施
依赖具有导出降低
抵御未控制可能诱发演变利用
暴露未被满足
增加增加
图中这些要素之间存在着以下关系：业务战略依赖于资产去完成；资产拥有价值，单位的业务战略越重要，对资产的依赖度越高，资产的价值则就越大；资产的价值越大则风险越大；风险是由威胁发起的，威胁越大则风险越大，并可能演变成安全事件；威胁都要利用脆弱性，脆弱性越大则风险越大；脆弱性使资产暴露，是未被满足的安全需求，威胁要通过利用脆弱性来危害资产，从而形成风险；资产的重要性和对风险的意识会导出安全需求;安全需求要通过安全措施来得以满足，且是有成本的；安全措施可以抗击威胁，降低风险，减弱安全事件的影响；风险不可能也没有必要降为零，在实施了安全措施后还会有残留下来的风险，—部分残余风险来自于安全措施可能不当或无效，在以后需要继续控制这部分风险，另一部分残余风险则是在综合考虑了安全的成本与资产价值后，有意未去控制的风险，这部分风险是可以被接受的；残余风险应受到密切监视，因为它可能会在将来诱发新的安全事件。
2.2风险计算模型
风险计算模型是对通过风险分析计算风险值的过程的抽象，它主要包括资产评估、威胁评估、脆弱性评估以及风险分析。
风险计算模型如下图所示：
威胁识别脆弱性识别资产识别威胁出现的频率
脆弱性的严重程度
资产价值安全事件发生的可能性
安全事件的损失
风险值。