信息安全风险评价服务资质认证自评价表
风险评估概念及其基本要素
一、风险评估概念及其基本要素信息系统的安全风险，是由来自人为的与自然的威胁利用系统存在的脆弱性造成的安全事件发生的可能性及其可能造成的影响。
信息安全风险评估（本文以下简称“风险评估”），则是指依据国家有关信息技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评估的活动过程，它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。
信息安全是一个动态的复杂过程，它贯穿于信息资产和信息系统的整个生命周期。
信息安全的威胁来自于内部破坏、外部攻击、内外勾结进行的破坏以及自然危害。
必须按照风险管理的思想，对可能的威胁、脆弱性和需要保护的信息资源进行分析，依据风险评估的结果为信息系统选择适当的安全措施，妥善应对可能发生的风险。
信息安全风险评估要关注如下基本要素：使命：一个单位通过信息化要来实现的工作任务。
依赖度：一个单位的使命对信息系统和信息的依靠程度。
资产：通过信息化建设积累起来的信息系统、信息、生产或服务能力、人员能力和赢得的信誉等。
价值：资产的重要程度和敏感程度。
威胁：一个单位的信息资产的安全可能受到的侵害。
威胁由多种属性来刻画：威胁的主体（威胁源）、能力、资源、动机、途径、可能性和后果。
脆弱性：信息资产及其防护措施在安全方面的不足和弱点。
脆弱性也常常被称为弱点或漏洞。
风险：风险由意外事件发生的可能性及发生后可能产生的影响两种指标来衡量。
风险是在考虑事件发生的可能性及其可能造成的影响下，脆弱性被威胁所利用后所产生的实际负面影响。
风险是可能性和影响的函数，前者指威胁源利用一个潜在脆弱性的可能性，后者指不利事件对组织机构产生的影响。
残余风险：采取了安全防护措施，提高了防护能力后，仍然可能存在的风险。
安全需求：为保证单位的使命能够正常行使，在信息安全防护措施方面提出的要求。
安全评价过程控制文件(模板)
编号:项目名称：_________________________________委托单位：_________________________________过程控制文件（模板）安全评价有限公司安全评价项目风险分析记录单合同评审会签表编号：_____ B02-R02项目移交单填写要求项目移交单由市场人员填写，主要内容包含项目名称、业主负责人、职务、联系方式、移交的资料名称、合同方式、委托时间、合同时间、合同期限、重要合同条款、付款方式等信息。
是项目由市场签约到技术履约的依据，由市场签约人员和项目负责人签字确认。
安全评价项目交接单项目评价组任命书填写要求根据项目资料内容确定项目情况、工程特点，考虑各评价人员的能力、专业、特长，由部门负责人确定项目组长，组建项目的安评小组，确定项目组成员和技术专家，开展该项目工作。
任命决定中应填写完整的项目名称、组长和组员姓名，并由部门主管签字，小组成员和技术专家应填写姓名和每个人所属专业，人员的专业内容应覆盖项目评价需要的各个专业，在分工栏目中填写每个成员和专家在项目履约中的工作要求。
安全评价项目组成员名单项目实施方案策划书填写要求在项目组成员名单确定后，由项目组成员和技术专家一起研讨确定该项目的评价方案，方案应包含确定的评价体系的框架结构，主要由概述、工程概况、危险、有害因素分析、定性、定量评价、对策措施和结论等部分的简要说明组成。
策划书确定后应由项目组长和部门负责人签字确认。
安全评价实施方案策划书安全评价项目工作计划书现场勘察要求为了提高评价报告质量，认真贯彻执行国家安监总局有关安全评价报告编制要求，必须对评价项目进行现场勘察。
在预评价项目收集资料过程中，必须派人员进行现场勘察，并写出现场勘察报告，要求对项目厂址、灰场、周边情况等进行拍照。
留取影像资料。
在验收评价项目收集资料过程中，必须派人员进行现场勘察，并写出现场勘察报告，同时要求对生产现场、氢站、油库区、灰场、煤场、大坝等重要区域和设施进行拍照。
信息系统安全服务资质测评认证指南-中国信息安全测评中心[002]
![信息系统安全服务资质测评认证指南-中国信息安全测评中心[002]](https://img.taocdn.com/s3/m/f11bb3144b35eefdc8d333fe.png)
国家信息安全测评信息安全服务资质申请指南（云计算安全类一级）（试行）©版权2017—中国信息安全测评中心2017年9月1日目录目录2引言3一、认定依据 (4)二、级别划分 (4)三、一级资质要求 (4)3.1 基本资格要求 (5)3.2 基本能力要求 (5)3.2.1 组织与管理要求 (5)3.2.2 技术能力要求 (5)3.2.3 人员构成与素质要求 (6)3.2.4 设备、设施与环境要求 (6)3.2.5 规模与资产要求 (6)3.2.6 业绩要求 (6)3.3 云计算安全服务过程能力要求 (7)3.4 项目和组织过程能力要求 (9)四、资质认定 (11)4.1认定流程图 (11)4.2申请阶段 (12)4.3资格审查阶段 (12)4.4能力测评阶段 (12)4.4.1静态评估 (12)4.4.2现场审核 (13)4.4.3综合评定 (13)4.4.4资质审定 (13)4.5证书发放阶段 (13)五、监督、维持和升级 (14)六、处置 (14)七、争议、投诉与申诉 (14)八、获证组织档案 (15)九、费用及周期 (15)十、联系方式 (16)引言中国信息安全测评中心是经中央批准成立的国家信息安全权威测评机构，职能是开展信息安全漏洞分析和风险评估工作，对信息技术产品、信息系统和工程的安全性进行测试与评估。
对信息安全服务和人员的资质进行审核与评价。
中国信息安全测评中心的主要职能是：1.为信息技术安全性提供测评服务；2.信息安全漏洞分析；3.信息安全风险评估；4.信息技术产品、信息系统和工程安全测试与评估；5.信息安全服务和信息安全人员资质测评；6.信息安全技术咨询、工程监理与开发服务。
“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。
为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。
信息安全风险评估服务资质认证
信息安全风险评估服务资质认证
信息安全风险评估服务资质认证是指对企业或机构的信息系统、网络设施和数据进行全面评估，分析存在的安全风险，并提供相应的解决方案和安全策略建议。
该服务的资质认证主要包括以下几个方面：
1. 专业团队：拥有一支专业的信息安全风险评估团队，团队成员应具备较高的教育背景和资质，并且有相关领域的实际经验。
成员需要通过相关的认证考试，如CISSP、CISA等，证明其
掌握了必要的知识和技能。
2. 丰富经验：具备丰富的信息安全风险评估项目经验，能够独立完成各种规模和类型的评估任务。
在服务过程中，能够针对不同的行业和业务需求，提供定制化的评估方案，并根据具体情况调整评估方法和流程。
3. 先进工具：具备使用先进的信息安全评估工具和设备的能力，能够对企业的信息系统进行全面扫描和检测。
同时，还需要能够分析评估结果，确定潜在的安全风险，为客户提供详细的评估报告和建议。
4. 合规能力：了解国内外信息安全的法律、法规和标准，能够确保评估服务的合法性和合规性。
同时，还需要了解各大行业的信息安全标准和最佳实践，能够为客户提供符合其所在行业的安全解决方案。
5. 客户口碑：具备良好的客户口碑和信誉，能够为客户提供专
业、高效和贴合实际的服务，得到客户的一致好评和认可。
同时，还需要具备良好的沟通和解释能力，能够与客户有效地进行沟通，确保评估结果和建议得到正确理解和实施。
综上所述，信息安全风险评估服务资质认证需要具备专业团队、丰富经验、先进工具、合规能力和良好口碑等要素。
只有具备这些要素的企业或机构才能够获得相关认证，提供高质量的信息安全评估服务。
IATF6949之过程风险和机遇与应对评估分析表例子
综合管理部
2019年1月已经完成
有效
采购信息不充分，导致采购的产品不满足要求
5
3
15
一般风险
1、落实采购信息充分性、有效性的确认
2、在采购合同、供应商质量协议中明确相应的要求
综合管理部
2019年1月已经完成
有效
13
SP2
产品和服务的检验及验证、监视和测量资源过程
检验员未掌握必要的技能，导致检验结果可靠性不高
有效
对保修产品重视不够，没有明确的保修件分析方法，导致保修品管理效果不佳
3
3
9
一般风险
建立《产品保修管理过程》，落实保修品的刮泥。
对每一个保修品，在接收保修品前进行分析时，必须由多功能小组形成保修品分析方法。
品技部（多功能小组）
2019年1月起
有效
12
SP1
外部供方管理及采购过程
供方管理人员能力不足，导致供方管理问题，出现批量问题
业务部
2019年1月
有效
2
COP2
产品/过程设计和开发过程
人员流失，人员失误导致项目不成功
5
3
15
一般风险
1、除设定项目经理外，还必须设定多功能小组组长，确保依据多功能小组的方式进行设计和开发
2、识别出开发设计过程所需的技能和工具，将设计与开发人员列为特殊岗位，确保人员能力满足要求，在设计开发过程需要策划输入
XXXX有限公司
风险和机遇与应对评估分析表
类别：□经营环境□质量□环境■过程
序号
风险和机遇来源
（内部/外部）
风险和机遇内容
风险分析
管理措施
责任部门/人
实施时间
ccrc信息安全风险评估服务资质认证证书模板
ccrc信息安全风险评估服务资质认证证书模板文章《深度探讨CCRC信息安全风险评估服务资质认证证书模板》一、引言在当今信息化的社会，信息安全风险评估已经成为了企业、组织及个人必须面对的重要问题。
尤其对于涉及大量用户信息的CCRC（云计算资源中心）来说，信息安全风险评估更是至关重要的一环。
在这样的背景下，CCRC信息安全风险评估服务资质认证证书模板应运而生。
这一模板的推出，为CCRC的信息安全风险评估提供了一种标准化和规范化的方法，有助于提高CCRC的信息安全水平，降低信息安全风险。
二、CCRC信息安全风险评估服务资质认证证书模板概述1. 模板的设计理念CCRC信息安全风险评估服务资质认证证书模板的设计理念是通过明确的标准和规范，对CCRC的信息安全风险进行客观、全面的评估，从而提供专业的服务认证证书。
这样的模板不仅有助于CCRC自我评估和改进，还能够给用户和监管机构提供信心，确保其信息安全风险得到有效管控。
2. 模板的具体内容CCRC信息安全风险评估服务资质认证证书模板通常包括以下内容：CCRC的基本信息、信息安全管理制度、信息安全风险评估流程、信息安全风险评估结果、信息安全改进措施、认证机构意见等。
这些内容的明确定义和规范化有助于评估者更加客观、全面地评估CCRC的信息安全风险，同时也方便认证机构对CCRC的信息安全水平进行认证和监督。
三、CCRC信息安全风险评估服务资质认证证书模板的意义CCRC信息安全风险评估服务资质认证证书模板的意义主要体现在以下几个方面：- 标准化和规范化这一模板的推出有助于统一CCRC信息安全风险评估的标准和方法，使得不同的评估者和认证机构可以按照相同的标准进行评估和认证，提高评估和认证的公正性和客观性。
- 改进信息安全水平通过持续地使用和改进这一模板，CCRC可以更加系统地了解自身的信息安全风险，采取有针对性的措施来改进信息安全水平，确保用户数据的安全和隐私。
- 提升用户信心CCRC获得了符合CCRC信息安全风险评估服务资质认证证书模板的认证，能够向用户和监管机构展示其信息安全水平得到了第三方权威机构的认可，提升了用户对CCRC的信心，有助于吸引更多的用户和合作伙伴。
风险和机遇识别评价表(汇总)
5
3
2
30
ห้องสมุดไป่ตู้
高风险
1.公司配备好相应的防护用具； 2.按要求管理相关人员佩戴好相应的防护用具。
防护措施
生产部、品质部 、物控部
有效
5
环境因素 识别评价
内部
1.环境因素的识别 1.环境因素未进行识别或识别不全面导致造成环
2.重要环境因素管 境影响；
4
理
2.未对重要环境因素进行管理，造成环境影响。
2
1
8
低风险
3
2
2
12
低风险
3.输出项目需要执行“谁去做？”、“怎么做？”“什么时 候完成？”，以确保管理评审的输出得到有效落实。
管理评审输入、 总经理
输出
部门
各 《管理评审控制程序》
4.每年的管理评审务必评审上年度输出的执行情况。
相关文件：1.《管理评审控制程序》
化学品的存储
2.化学品无防泄露装置措施，化学品泄露污染环
4
2
2 16 一般风险 主要职能部门按照要求加强法律法规的收集评价
7
环境因素 识别评价
内部
1.环境因素的识别 1.环境因素未进行识别或识别不全面导致造成环
2.重要环境因素管 境影响；
3
理
2.未对重要环境因素进行管理，造成环境影响。
1
2
6
低风险
对环境因素进行识别评价； 制定重要环境因素管理方案。
行业标准
1.审核人员环境体系不熟悉，导致审核浮于表 面； 2.审核发现的不符合项目未能及时改善和跟进，
3
2
1.对内审员实施培训，经考核合格后获取内审证书。安排内
2
信息安全风险评估服务资质认证
信息安全风险评估服务资质认证信息安全风险评估服务是指对企业、组织等的信息系统和信息资源进行安全风险评估，发现可能存在的安全风险和漏洞，并提供相应的解决方案和改进建议的服务。
由于信息安全风险评估对相关信息的保护具有重要意义，因此需要资质认证来确保评估服务的质量和可靠性。
首先，信息安全风险评估服务需要具备相关的技术能力和专业知识。
评估人员需要具备扎实的计算机技术背景和信息安全知识，熟悉各类攻击技术和常见的安全漏洞，能够准确地发现风险和漏洞，以及给出相应的解决方案。
因此，资质认证需要对评估人员进行技术能力和专业知识的考核，确保其具备足够的能力来进行信息安全风险评估服务。
其次，信息安全风险评估服务需要在法律和道德规范的框架下进行。
因为在评估过程中可能会获取到企业或组织的敏感信息，如个人身份信息、商业秘密等，因此需要评估服务提供商具备相关的法律法规和道德规范意识，并遵守相关的信息安全和隐私保护法律法规。
资质认证需要对服务提供商的合规性进行检查，确保其合法合规地开展评估服务。
最后，信息安全风险评估服务需要具备可信赖的服务能力和信用度。
评估服务提供商应该有一定的行业声誉和丰富的服务经验，能够提供有效和可信的评估结果。
此外，评估报告的准确性和可靠性也是评估服务的重要标准之一。
资质认证需要评估服务提供商的服务能力和信誉度，确保其具备对企业或组织的信息安全风险进行全面、准确评估的能力。
综上所述，信息安全风险评估服务资质认证是保证评估服务质量和可靠性的重要手段。
通过对评估人员的技术能力和专业知识的考核、对服务提供商的合规性的检查以及对服务能力和信誉度的评估，可以确保评估服务具备足够的能力和可信度，为企业和组织提供有效的信息安全风险评估服务。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
仅二级/一级要求：依据相关标准中的威胁分类方法对威胁进行分类。
威胁类别清单
32.
仅二级/一级要求：应识别出组织和信息系统中潜在的对组织和信息系统造成影响的威胁。
对组织和信息系统造成的潜在要求：采用多种方法进行威胁调查。
威胁调查的方法证明材料。
34.
风险识别-已有安全措施确认
18.
风险识别阶段-资产识别
参考国家或国际标准，对资产进行分类。
参照已发布的标准，形成的资产分类列表。
19.
识别重要信息资产，形成资产清单。
项目的重要资产清单。
20.
对已识别的重要资产，分析资产的保密性、完整性和可用性等安全属性的等级要求。
项目的重要资产的三性等级要求列表
21.
对资产进行赋值
项目的重要资产赋值表。
2.
仅二级/一级要求：针对多种类型组织，多行业组织，至少完成一个风险评估项目，该系统的用户数在10,000以上；具备从管理和技术层面对脆弱性进行识别的能力。
提供一个已完成项目的合同、用户数、验收的证明材料，包括管理和技术层面脆弱性识别的材料。
3.
仅一级要求：能够在全国范围内，针对5个（含）以上行业开展风险评估服务；至少完成两个风险评估项目，该系统的用户数在100,000以上；具备从业务、管理和技术层面对脆弱性进行识别的能力。具备跟踪、验证、挖掘信息安全漏洞的能力。
提供5个已完成项目的合同、用户数、验收的证明材料，从业务、管理和技术层面对脆弱性进行识别的材料。提供跟踪、验证、挖掘信息安全漏洞的证明材料。
4.
准备阶段
-服务方案制定
编制风险评估方案、风险评估模板，并在项目实施过程中按照模板实施
信息安全风险评估方案、风险评估模板。
5.
仅二级/一级要求：根据评估目标和范围，确定风险评估对象中包含的信息系统，以及对组织的资产进行分类。
风险评估方案明确评估依据和评估方法，评估依据和评估方法符合国家标准、行业标准及相关要求。
9.
仅二级/一级要求：应形成较为完整的风险评估实施方案。
10.
准备阶段
-人员和工具准备
应组建评估团队。风险评估实施团队应由管理层、相关业务骨干、IT技术人员等组成。
风险评估方案明确风险评估实施团队，团队成员应由管理层、相关业务骨干、IT技术人员等角色组成。
信息安全
组织名称
申报级别
评估时间
评估部门/人员
序号
要点
条款
需提供证明材料
自评估结论
证明材料清单
符合
不符合
1.
基本资格
至少有一个完成的风险评估项目，该系统的用户数在1,000以上；具备从管理或（和）技术层面对脆弱性进行识别的能力。
提供一个已完成项目的合同、用户数、验收的证明材料，包括管理或（和）技术层面脆弱性识别的材料。
22.
仅一级要求：识别信息系统处理的业务功能，重点识别出关键业务功能和关键业务流程。
项目中的识别信息系统、以及业务系统承载的业务、业务流程的证明材料。
23.
仅一级要求：根据业务特点和业务流程应识别出关键数据和关键服务。
项目中的识别信息系统、以及业务系统承载的业务、业务流程的证明材料。
24.
仅一级要求：识别处理数据和提供服务所需的关键系统单元和关键系统组件。
对被评估的信息系统进行识别的证明材料。
6.
应为风险评估实施活动提供总体计划或方案，方案应包含风险评价原则。
已完成项目的风险评估方案，方案中包含风险评价原则。
7.
仅二级/一级要求：应进行充分的系统调研，形成调研报告。
已完成项目的系统调研报告，报告中被评估对象有清晰的描述。
8.
仅二级/一级要求：宜根据风险评估目标以及调研结果，确定评估依据和评估方法。
已完成项目的风险评估报告中，对资产、脆弱性及安全措施的分析的描述。
38.
应根据分析模型确定的方法计算出风险值。
已完成项目的风险评估报告中对计算方法的描述，并得出风险值。
39.
仅二级/一级要求：构建风险分析模型应将资产、威胁、脆弱性三个基本要素及每个要素各自的属性进行关联。
已完成项目的风险评估报告中对资产、威胁、脆弱性三个基本要素进行关联的证明材料。
14.
仅二级/一级要求：需采取相关措施，保障工具自身的安全性、适用性；
工具的安全测试证明材料；风险评估启动前的工具测试记录，记录包括对工具的适用性记录。
15.
仅二级/一级要求：建立项目管理规程，对项目按规程进行管理
参照ISCCC提供的项目管理制度，结合一个已完成项目查验其项目管理制度的可行性。
16.
27.
风险识别阶段-威胁识别
应参考国家或国际标准，对威胁进行分类。
威胁分类清单。
28.
应识别对已识别的信息资产存在的潜在威胁；
项目中的威胁识别清单
29.
应识别威胁利用脆弱性的可能性；
其分析脆弱性发生可能性的证明材料。
30.
应分析威胁利用脆弱性对组织可能造成的影响。
分析脆弱性发生对组织造成影响的证明材料。
仅一级要求：需采取相关措施，保障工具管理的规范性以及工具自身的安全性、适用性；
建立相应的工具管理制度，并按照制度执行。
17.
仅一级要求：建立项目管理规程，对项目按规程进行管理；必要时，采取项目群、项目组合管理。
项目管理制度，结合一个已完成项目查验项目管理制度的可行性。
查验其对项目群、项目组合管理要求，及其实施的记录。
应识别组织已采取的安全措施；
已完成项目的已识别的安全措施列表。
35.
应评价已采取的安全措施的有效性。
安全措施有效性的证明材料。
36.
风险分析阶段-风险分析模型建立
应构建风险分析模型。
已完成项目的风险评估报告中的风险分析模型的描述，并验证其可行性、科学性。
37.
应根据风险分析模型对已识别的重要资产的威胁、脆弱性及安全措施进行分析。
项目中的处理数据和提供服务所需的关键系统单元和关键系统组件。
25.
风险识别阶段-脆弱性识别
应对已识别资产的安全管理或技术脆弱性利用适当的工具进行核查，并形成安全管理或（和）技术脆弱性列表。
项目中对脆弱性识别时使用的工具列表、管理或（和）技术脆弱性列表。
26.
应对脆弱性进行赋值。
项目的脆弱性赋值列表。
11.
应根据评估的需求准备必要的工具。
风险评估方案明确风险评估工具，检查其工具列表及主要功能描述。
12.
应对评估团队实施风险评估前进行安全教育和技术培训。
项目实施前的安全教育及技术培训的证明材料，如启动会的PPT，PPT中包含培训的内容。
13.
对项目采取文档化管理
项目管理制度中包含文档管理的相关内容。