涉密计算机安全策略文件2013
1大学涉密信息系统涉密信息设备和涉密存储设备安全保密策略执行表单BMBHEU-CLWD-01V05
哈尔滨工程大学信息系统、信息设备和存储设备安全保密策略执行表单编号：BMB/HEU-CLWD-01 版本：V1.051.物理设备安全策略1.1物理和环境安全策略（1）本涉密设备放置楼层在（）层，（口已口未）安装防盗门，（口已口未）安装防盗窗。
（2）涉密计算机的摆放（口已口未）远离暖气管道、通风管道、上下水管、电话、有线报警系统等偶然导体，距离在1米以上。
（3）多台涉密计算机（口已口未）独立划分工作区域，并与非涉密区有效隔离。
（4）同一房间内存放（）台涉密计算机，包括：秘密级计算机（）台，机密级计算机（）台，该房间（口已口未）按照要害部门、部位进行建设。
（5）涉密计算机的屏幕、投影摆放（口已口未）采取措施，且不易被无关人员直视。
（6）该涉密场所（口有□没有）非涉密计算机或互联网计算机，其（口已口未）禁止启用视频、音频设备。
（7）涉密计算机（口已口未）与非涉密计算机置于同一金属平台，（口已口未）与非涉密设备保持安全距离。
（8）该场所为（□涉密场所口要害部门、部位），采用了（口电子门禁系统口视频监控系统□防盗报警系统□____________ ）对出入情况进行控制。
（9）视频监控存储设备（口已□未）划分独立区域放置。
□不涉及此项。
（10）视频监控存储设备，（口已□未）按照保密要求进行管理。
□不涉及此项。
上述1.1环境安全策略（口满足□基本满足□不满足）。
1.2通信和传输安全策略1.2.1密码保护措施策略各涉密单位，如须使国家普通密码产品，（口已口未）制定专门的密码产品保护方案，报保密处进行审核。
□不涉及此项。
1.2.2红黑电源隔离插座策略涉密信息设备的电源（口已口未）使用红黑电源隔离插座，多台涉密信息设备（口已□未）在红黑电源隔离插座后串接普通插座使用。
1.2.3视频干扰仪策略机密级涉密计算机，（口已口未）安装视频干扰器。
视频干扰器（口已口未）遵循先开后关原则，即电脑开启前先打开，电脑关闭后再关闭。
上述1.2通信和传输安全策略（口满足□基本满足口不满足）。
12.大学涉密信息系统、涉密信息设备和涉密存储设备安全保密策略执行表单BMBHEU-CLWD-01V1.05
哈尔滨工程大学信息系统、信息设备和存储设备安全保密策略执行表单编号：BMB/HEU-CLWD-01 版本：V1.051.物理设备安全策略1.1物理和环境安全策略（1）本涉密设备放置楼层在（）层，（□已□未）安装防盗门，（□已□未）安装防盗窗。
（2）涉密计算机的摆放（□已□未）远离暖气管道、通风管道、上下水管、电话、有线报警系统等偶然导体，距离在1米以上。
（3）多台涉密计算机（□已□未）独立划分工作区域，并与非涉密区有效隔离。
（4）同一房间内存放（）台涉密计算机，包括：秘密级计算机（）台，机密级计算机（）台，该房间（□已□未）按照要害部门、部位进行建设。
（5）涉密计算机的屏幕、投影摆放（□已□未）采取措施，且不易被无关人员直视。
（6）该涉密场所（□有□没有）非涉密计算机或互联网计算机，其（□已□未）禁止启用视频、音频设备。
（7）涉密计算机（□已□未）与非涉密计算机置于同一金属平台，（□已□未）与非涉密设备保持安全距离。
（8）该场所为（□涉密场所□要害部门、部位），采用了（□电子门禁系统□视频监控系统□防盗报警系统□__________）对出入情况进行控制。
（9）视频监控存储设备（□已□未）划分独立区域放置。
□不涉及此项。
（10）视频监控存储设备，（□已□未）按照保密要求进行管理。
□不涉及此项。
上述1.1环境安全策略（□满足□基本满足□不满足）。
1.2通信和传输安全策略1.2.1密码保护措施策略各涉密单位，如须使国家普通密码产品，（□已□未）制定专门的密码产品保护方案，报保密处进行审核。
□不涉及此项。
1.2.2红黑电源隔离插座策略涉密信息设备的电源（□已□未）使用红黑电源隔离插座，多台涉密信息设备（□已□未）在红黑电源隔离插座后串接普通插座使用。
1.2.3视频干扰仪策略机密级涉密计算机，（□已□未）安装视频干扰器。
视频干扰器（□已□未）遵循先开后关原则，即电脑开启前先打开，电脑关闭后再关闭。
上述1.2通信和传输安全策略（□满足□基本满足□不满足）。
（完整版）涉密计算机安全策略文件
（完整版）涉密计算机安全策略文件航天天绘科技有限公司涉密计算机及信息系统安全策略文件1 概述涉密计算机及信息系统安全策略文件属于顶层的管理文档，是公司网络与信息安全保障工作的出发点和核心，是公司计算机与信息系统安全管理和技术措施实施的指导性文件。
涉密计算机及信息系统安全策略文件是公司计算机和信息系统全体管理和使用人员必须遵循的信息安全行为准则，由公司信息安全管理部门制订及解释，由公司保密委员会审批发布，并由信息安全管理部门组织公司全体人员学习与贯彻。
公司涉密计算机及信息系统涉及到存储、传输、处理国家秘密、公司商业秘密和业务关键信息，关系到公司的形象和公司业务的持续运行，必须保证其安全。
因此，必须从技术、管理、运行等方面制定确保涉密计算机和信息系统持续可靠运行的安全策略，做好安全保障。
本策略文件主要内容包括：人员安全、资产分类与控制、物理和环境安全、系统开发和维护、访问控制、个人计算机安全、风险管理、业务持续性管理与灾难恢复、计算机与网络运行管理、遵循性等十个方面。
2 适用范围2.1本策略所称的涉密计算机和信息系统指公司所有通过计算机及信息系统存贮、处理或传输的信息及存贮、处理或传输这些信息的硬件、软件及固件。
2.2本策略适用于与公司涉密计算机及信息系统相关的所有部门及人员。
3 目标制定涉密计算机及信息系统安全策略的目标就是确保公司掌握的国家秘密、公司商业秘密和业务关键信息的安全性，并通过一系列预防措施将信息安全可能受到的危害降到最低。
信息安全管理应在确保信息和计算机受到保护的同时，确保计算机和信息系统能够在允许的范围内正常运行使用。
同时，本策略的目的也是让所有员工能够了解信息安全问题以及明确各自的信息安全职责，严格遵守本安全策略，并遵守国家相关的计算机或信息安全法律要求。
4 组织4.1保密委员会是计算机及信息系统安全管理的领导机关，负责领导信息安全管理体系的建立和信息安全管理的实施，主要包括：◆提供清晰的指导方向，可见的管理支持，明确的信息安全职责授权；◆审查、批准信息安全策略和岗位职责；◆审查业务关键安全事件；◆批准增强信息安全保障能力的关键措施和机制；◆保证必要的资源分配，以实现数据有效性以及信息安全管理体系的持续发展。
涉密计算机安全策略配置完整版
涉密计算机安全策略配置HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】涉密计算机安全策略配置一、物理安全防护1、安装防盗铁门2、安装红外报警器3、放置密码文件柜4、涉密电脑实行物理隔离二、硬件相关设置1、禁止使用无线设备（无线键盘、鼠标、网卡、红外、蓝牙、modem等）；2、未经许可不得使用视频、音频输入设备、读卡器设备、刻录设备;3、接入红黑电源隔离插座；4、与非密设备间隔一米以上。
三、主板BIOS相关设置1、设置BIOS系统密码，该密码由安全保密管理员掌握；2、设置BIOS开机密码，该密码由用户掌握；3、BIOS最优先启动设置为硬盘启动，其余优先启动全部关闭；四、操作系统1、禁止安装番茄花园、雨林木风等经处理的操作系统，禁止安装Ghost版操作系统；2、更改A d m i n i s t r a t o r用户名并设置密码，禁用Guest帐户，删除多余帐户；3、关闭操作系统的默认共享，同时禁止设置其它共享；4、设置屏保时间10分钟，屏保恢复需用密码；5、不得安装《软件白名单》外的软件；6、对操作系统与数据库进行补丁升级（每季度一次〉；7、定期输出安全审计记录报告（每月一次）8、清理一切私人信息：私人照片、mp3、电影等等。
9、根据规定设置系统策略，关闭非必要服务；〔见后）五、安全保密防护软件的部署1、安装正版杀毒软件，涉密计算机（瑞星杀毒软件），涉密中间机、非涉密中间机（瑞星杀毒软件)；杀毒软件每半个月更新一次病毒库并全盘扫描；2、安装主机监控审计软件与介质绑定系统；六、关闭计算机不必要的应用服务原则：在没有特殊情况下应当关闭不必要的服务。
如果有特殊需求，应当主动申请提出。
详细配置说明七、按以下要求配置操作系统策略。
涉密计算机安全策略操作规范
官方网站： 涉密计算机安全保密策略设置的操作规范一、创建账户右击“我的电脑”→管理→系统工具→本地用户和组→用户→在右侧窗格中单击右键添加新用户，设置用户属性隶属于Power Users。
用户名分配策略：秘密级计算机用户名由系统管理员统一分配并填写账户情况统计表。
二、禁止访问“控制面板”开始→运行→gpedit.msc→用户配置→管理模板→控制面板→将右侧窗格的“禁止访问控制面板”策略启用。
三、禁用访问注册表编辑器开始→运行→gpedit.msc→用户配置→管理模板→系统→将右侧窗格的“阻止访问注册表编辑器”策略启用。
四、关闭系统自动播放功能开始→运行→gpedit.msc→用户配置→管理模板→系统→将右侧窗格的“关闭自动播放”策略设置为“所有驱动器”。
五、设置密码复杂性要求和密码长度等开始→运行→gpedit.msc→计算机配置→Windows设置→安全设置→账户策略→密码策略→启用“密码必须符合复杂性要求”、“密码长度最小值”、“密码最长留存期”（秘密级计算机密码长度最小值为8位，密码最长留存期设为30天）。
六、设置账户锁定阀值官方网站： 开始→运行→gpedit.msc→计算机配置→Windows设置→安全设置→账户策略→账户锁定策略→启用“账户锁定阀值”（5次）。
七、设置密码保护屏保程序开始→运行→gpedit.msc→用户配置→管理模板→控制面板→显示→启用右侧窗格的“屏幕保护程序”、“密码保护屏幕保护程序”并将“屏幕保护程序超时”策略设置为“600秒”。
八、设置BIOS密码1、启动电脑，然后按【Del】键进入BIOS设置主界面。
2、在BIOS主菜单中，有两个设置密码的选项，它们是“SetSupervisor Password”（设置超级用户密码）与“Set User Password”（设置用户密码）。
3、选择其中一个后按回车键，出现Enter Password对话框后，输入密码，密码复杂性同密码策略复杂性要求（不支持10位及以上密码设置的除外，但应设为最大位数）。
涉密计算机安全保密策略档案表
涉密计算机和信息系统安全保密策略一、鉴别策略：1、用户终端设置BIOS启动口令2、登陆操作系统时需要身份鉴别。
身份鉴别为实名制，必须使用用户数码密钥并输入正确的用户名和密码后登陆系统。
3、用户名或密码错误三次以后自动锁定用户密码钥匙，需管理员进行解锁后方可使用。
4、用户身份鉴别成功后闲置时间超过5分钟需要新进行身份鉴别。
二、账户策略1、密码必须符合复杂性。
2、密码长度最小值为10个字符3、密码最长存留时间为30天4、复位账户锁定计数器1分钟之后5、账户锁定阀值：3次无效登陆三、本地策略1、启动监控：监控应用程序运行。
2、启动监控：监控移动介质使用。
3、启动日志：文档打印操作。
4、禁用：printscren 功能按键5、物理拆除：软盘驱动器。
6、禁用：光盘驱动器。
7、禁用：扫描仪、照相机。
8、禁用：调制解调器。
9、禁用：串行通讯口。
10、禁用：并行通讯口。
11、禁用：1394通讯口12、禁用：wifi无线网卡13、禁用：蓝牙设备四：网络安全1、禁用：本地连接。
2、禁用：网络修改。
3、禁用：新增加网卡。
4、禁用：红外设备。
5、禁用：PCMCIA设备。
五：软件安全1、用过合法渠道或官方网站定期下载系统补丁软件，并及时更新2、所有新的或变更的软件测试其：可用性、可靠性、可溶性、可恢复性和错误处理能力。
六：病毒防范1、安装2种以上可靠防毒软件，并定期查杀病毒。
2、对将要上传的文件资料进行病毒查杀在制作光盘3、对系统进行实时监测和过滤。
4、及时更新病毒库。
5、对发现的病毒及时查杀，可以的文件及时上报做好详细记录。
信息设备和存储设备安全保密策略
信息设备和存储设备安全保密策略第一条定义XXXXXX信息设备和存储设备安全保密策略包括: 物理环境安全、信息设备安全、存储介质安全、操作安全、信息交换安全、审计安全以及运维安全, 本策略文件规定各项安全保密策略的配置要求。
第二条适用范围本安全保密策略适用于XXXXXX信息设备和存储设备安全保密管理工作。
第三条安全目标依据《中华人民共和国保守国家秘密法》、《中华人民共和国保守国家秘密法实施条例》、《武器装备科研生产单位保密资格认定办法》及《武器装备科研生产单位保密资格标准》（二级）等有关法律法规, 结合公司实际情况, 采用符合国家保密相关要求的技术和管理措施, 对公司信息设备和存储设备中应当遵循的规则和要求进行了详细的叙述, 以保障公司涉密信息安全。
第四条安全原则运行规范、事先预防、分类管控、按责落实。
第五条安全方针分类管理、责任到人, 预防为主、积极防范, 共同努力、保证安全。
第六条安全组织机构保密委员会是公司保密管理的领导机构, 贯彻国家有关保密工作的法律、法规、方针、政策, 落实集团公司等上级单位及公司党支部关于保密工作的部署和要求, 组织开展各项保密工作, 指导、检查各部门保密工作, 审议解决保密工作中的重大问题, 督促落实有关重大泄密隐患的整改工作。
科技质量部是公司信息化及网络安全归口管理部门, 负责信息系统、信息设备和存储设备的规划、建设、运行维护以及安全保密的监督管理工作, 接受保密工作机构的指导、监督和检查。
研发部是公司信息系统、信息设备和存储设备的运行维护机构, 负责公司信息系统、信息设备和存储设备的日常运维和安全保密日常管理工作, 接受信息化主管部门监督管理。
第七条安全管理人员公司配备相应的技术管理人员对公司信息系统、信息设备和存储设备的安全保密工作进行专业化管理。
安全保密管理员, 负责落实安全保密技术防护措施、安全评估、用户权限设置。
安全审计员, 负责对安全保密管理员和运维人员的日常操作行为进行审计。
涉密计算机安全策略配置
涉密计算机安全策略配置一、物理安全防护1、安装防盗铁门2、安装红外报警器3、放置密码文件柜4、涉密电脑实行物理隔离二、硬件相关设置1、禁止使用无线设备（无线键盘、鼠标、网卡、红外、蓝牙、modem等）；2、未经许可不得使用视频、音频输入设备、读卡器设备、刻录设备;3、接入红黑电源隔离插座；4、与非密设备间隔一米以上。
三、主板BIOS相关设置1、设置BIOS系统密码，该密码由安全保密管理员掌握；2、设置BIOS开机密码，该密码由用户掌握；3、BIOS最优先启动设置为硬盘启动，其余优先启动全部关闭；四、操作系统1、禁止安装番茄花园、雨林木风等经处理的操作系统，禁止安装Ghost版操作系统；2、更改A d m i n i s t r a t o r用户名并设置密码，禁用Guest帐户，删除多余帐户；3、关闭操作系统的默认共享，同时禁止设置其它共享；4、设置屏保时间10分钟，屏保恢复需用密码；5、不得安装《软件白名单》外的软件；6、对操作系统与数据库进行补丁升级（每季度一次〉；7、定期输出安全审计记录报告（每月一次）8、清理一切私人信息：私人照片、mp3、电影等等。
9、根据规定设置系统策略，关闭非必要服务；〔见后）五、安全保密防护软件的部署1、安装正版杀毒软件，涉密计算机（瑞星杀毒软件），涉密中间机、非涉密中间机（瑞星杀毒软件)；杀毒软件每半个月更新一次病毒库并全盘扫描；2、安装主机监控审计软件与介质绑定系统；六、关闭计算机不必要的应用服务原则：在没有特殊情况下应当关闭不必要的服务。
如果有特殊需求，应当主动申请提出。
详细配置说明七、按以下要求配置操作系统策略。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
涉密计算机及信息系统安全保密策略文件
1概述
涉密计算机及信息系统安全策略文件是公司计算机和信息系统全体管理和使用人员必须遵循的信息安全行为准则。
由公司保密办公室制订发布，并组织公司相关人员学习与贯彻。
公司涉密计算机及信息系统涉及到存储、传输、处理国家秘密，必须保证其安全。
因此，必须从技术、管理、运行等方面制订确保涉密计算机和信息系统持续可靠运行的安全策略，做好安全保障。
公司计算机及信息管理系统管理分为涉密计算机管理、非涉密内部网络（局域网）管理及互联网计算机信息管理三个层次。
涉密计算机只能处理涉及国家秘密的信息，实行物理隔离管理，只能由公司涉密人员使用，由公司计算机安全保密管理员管理。
涉密计算机信息数据必须被保护以防止被泄露、破坏或修改。
非涉密内部网络（局域网）及计算机配置应与互联网隔离，配置保密管理措施，只能通过局域网传输、储存技术文档、软件等涉及公司商业秘密的信息。
上述信息必须定期备份，以免被破坏和非授权修改。
互联网计算机主要处理来自于外部资源的普通信息，配置上网行为管理措施，同样在信息安全防护上进行安全考虑。
2 策略
本策略文件主要包括：物理安全策略、运行管理策略、信息安全策略、备份与恢复策略、应急计划和相应策略、计算机病毒与恶意代码防护策略、身份鉴别策略、访问控制策略、信息完整性保护策略、安全审计策略。
物理安全策略
计算机信息和其他用于存储、处理或传输信息的物理设施，例如硬件、磁介质、电缆等，对于物理破坏来说是易受攻击的，同时也不可能完全消除这些风险。
因此，应该将这些信息及物理设施放置于适当的环境中并在物理上给予保护使之免受安全威胁和环境危害。
●应该对计算机介质进行控制，如果必要的话需要进行物理保护。
可移动的计
算机应该受控；
●设备应放置在合适的位置或加强保护，将被如水或火破坏、干扰或非授权访
问的风险降低到可接受的程度；
●对设备应该进行保护，以免受电源故障或其他电力异常的损害；
●对计算机和设备环境应该进行监控，必要的话要检查环境的影响因素，如温
度和湿度是否超过正常界限；
●对设备应该按照生产商的说明进行有序的维护；
运行管理策略
为避免信息遭受人为过失、窃取、欺骗、滥用的风险，应当识别计算机及信息系统内部每项工作的信息安全职责并补充相关的程序文件。
公司全体相关人员都应该了解计算机及系统的网络与信息安全需求。
●信息设备和存储介质应当具有标识、涉密的应当标明密级，非密的应当标明
用途；
●涉密计算机应当与内部非涉密网络和互联网计算机实行物理隔离；
●涉密计算机操作人员应保留操作日志记录。
包括：系统开机和关机时间；系
统应用错误和采取的纠正措施；所处理的数据文件；操作日志建立和维护的人员名单；
●只有涉密人员才能访问秘密或关键信息，或者访问处理这些信息的系统；●禁止使用非涉密的计算机和存储介质存储和处理涉密信息；
●未经保密办审批，禁止对计算机系统格式化或重装系统；
●涉密人员在使用的计算机中更改或安装任何类型的计算机软件或硬件，必须
事先通过保密办的审批；
●当涉密人员离开公司时应该移交信息系统的访问权限，或涉密人员在公司内
部更换工作岗位时应该重新检查并调整其访问权限；
信息安全策略
为保护存储计算机的数据信息的安全性、完整性、可用性，保护系统中的信息免受恶意的或偶然的篡改、伪造和窃取，有效控制内部泄密的途径和防范来自外部的破坏，制订以下安全措施。
●设置屏幕保护，要求设置保护时间为10分种，恢复时有密码保护；
●终端计算机禁止安装多启动操作系统，只能安装一个操作系统；
●及时安装操作系统、数据库、应用程序的升级补丁；
●删除或禁用终端GUEST账号和其他未使用账号；
●关闭NETBOS服务；
●禁用终端危险服务（包括远程注册表管理、共享服务、终端服务等）；
●拆除计算机中具有无线联网功能的硬件模块；
●涉密计算机应配备电磁泄露发射防护装置；
●需要向涉密计算机中输入信息时，只能采用读取用非涉密中间转换机刻录
的一次性写入光盘的方式。
备份与恢复策略
计算机及信息系统数据备份与恢复的基本措施包括：
●建立有效的备份与恢复机制；
●定期检测自动备份系统是否正常工作；
●明确备份的操作人员职责、工作流程和工作审批制度；
●建立完善的备份工作操作技术文档；
●针对建立的备份与恢复机制进行演习；
●对备份的类型和恢复的方式进行明确的定义；
●妥善保管备份介质；
应急计划和相应策略
应该制订和实施应急计划和响应管理程序，将预防和恢复控制措施相结合，将安全故障造成的影响降低到可以接受的水平。
●考虑突发事件的可能性和影响；
●了解中断信息系统服务可能对业务造成的影响，并确定信息处理设施的业务目标；
●定期对应急计划和响应程序进行检查和必要的演练，确保其始终有效；
●适当的对技术人员进行培训，让他们了解包括危机管理在内的应急程序；
●必须建立有效的信息反馈渠道，以便于公司人员一旦发现安全威胁、事件
和故障，能及时向有关领导报告；
计算机病毒与恶意代码防护策略
病毒防范包括预防和检查病毒（包括实时扫描/过滤和定期检查），主要内容包括：
●控制病毒入侵途径；
●安装可靠的防病毒软件；
●对系统进行实时检测和过滤；
●定期杀毒；
●及时更新病毒库；
●详细记录；
●防病毒软件的安装和使用由信息安全管理员执行；
身份鉴别策略
每台计算机都应该指定专门的使用和负责人，如非工作需要，原则上禁止他人登录使用。
为保证计算机不被他人违规使用，制订以下措施：
●采用有效的口令保护机制，包括：规定口令的长度、有效期、口令规则。
保障用户登录和口令的安全；
●用户选择和使用密码时应参考良好的安全惯例
●严格设置对重要服务器、网络设备的访问权限；
●严格控制可以对重要服务器、网络设备进行访问的人员；
●严格控制可以物理接触重要设备的人员；
访问控制策略
为了保护计算机系统中信息不被非授权的访问、操作或被破坏、必须对信息系统实行控制访问。
●计算机活动应可以被追踪到人；
●应使用有效的访问系统来鉴别用户；
●特殊权限的分配应被安全地控制；
●用户应确保无人看管的设备受到了适当的安全保护；
●应根据系统的重要性制订监控系统的使用规程；
●必须维护监控系统安全事件的审计跟踪记录；
信息完整性保护策略
由于公司计算机和信息系统采用三层管理模式，不排除连接到外部网络，计算机和信息系统的运行必须使用可控且安全的方式来管理，网络软件、数据和服务的完整性和可用性必须受到保护。
应当制订管理和操作所有计算机和网络所必须的职责和规程，来指导正确的和安全的操作，这些规程包括：
●数据文件处理规程，包括验证网络传输的数据；
●对所有计划好的系统开发、维护和测试工作的变更管理规程；
●为意外事件准备的错误处理和和意外事件处理规程；
●问题管理规程，包括记录所有网络问题和解决办法；
●为所有新的或变更的硬件或软件，制订包括性能、可用性、可靠性、可恢
复性和错误处理能力等方面的测试/评估规程；
●日常管理活动，例如启动和关闭规程，数据备份，设备维护，计算机和网
络管理，安全方法或需求；
安全审计策略
计算机及信息系统的信息安全审计活动和风险评估应当定期执行。
特别是系统建设前或系统进行重大变更之前，必须进行风险评估工作。
信息安全审计应当3个月进行一次，并形成文档化的信息安全审计报告。
信息安全风险评估应当至少1年一次，可由公司自己组织进行或委托有信息系统风险评估资质的第三方机构进行。
信息安全风险评估必须形成文档化的风险评估报告。