1、风险评估报告风险评估报告模板信息技术风险评估风险评估报告年度风险评估文档记录风险评估每年做一次，评估日期及评估人员填在下表：评估日期 评估人员风险评估报告风险评估报告风险评估报告目录1 前言 42.IT 系统描述 53 风险识别 84.控制分析 105.风险可能性测定 136.影响分析 157.风险确定 178.建议 .199.结果报告 20风险评估报告1.前言风险评估成员：风险评估报告评估成员在公司中岗位及在评估中的职务：风险评估采用的方法：表 A 风险分类风险水平 风险描述必要行为高 信息的保密性、完整性、有效性的丢失可能在组织运作、组织资产或个人方面带来严峻的或灾难性的不利影响。中 信息
2、的保密性、完整性、有效性的丢失可能在组织运作、组织资产或个人方面带来严重的不利影响。低 信息的保密性、完整性、有效性的丢失可能在组织运作、组织资产或个人方面带来有限的不利影响。风险评估报告2.IT 系统描述系统信息和定义文档.IT 系统识别和所有权IT 系统 ID IT 系统通用名称Owned By物理位置主要业务功能系统主人电话号码系统管理员电话号码数据所有者的电话号码数据管理员电话号码其它相关信息II. IT System Boundary and ComponentsIT 系统描述和组件IT 系统界面风险评估报告IT 系统边界 IT 系统的彼此连系（按需添加附加费）代理商或单位名称IT
3、系统名称 IT 系统 ID IT 系统所有者 Interconnection Security Agreement Status整体 IT 系统灵敏度评级如果数据类型的灵敏度被评为“高” ，那么在任何标准下都必须为“高”高 中 低IT 系统分类如果所有的灵敏度都为“高” ，那么必须为“灵敏” ；如果是适度的，也可认为是“灵敏”全面的 IT 系统的灵敏度评估和分类灵敏 非灵敏IT 系统的描述、图解和网络架构，包括全部的系统组件、链接系风险评估报告统组件的通信链接和相关的数据通信和网络：风险评估报告图 1IT 系统边界图描述了信息的流动往返于 IT 系统，包括输出和输入到 IT 系统和其它接口风险
4、评估报告图信息流程图风险评估报告.风险识别脆弱性识别被识别的脆弱性：威胁识别被识别的威胁：被识别的威胁列于表表 威胁识别风险评估报告风险识别被识别的风险：在表中是脆弱性和威胁性风险识别方法表 脆弱性、威胁性和风险风险序号脆弱性 威胁性Risk of Compromise of 风险总结12345风险评估报告风险序号脆弱性 威胁性Risk of Compromise of 风险总结6789101112131415161718192021222324254.控制分析风险评估报告在表 E 中是 IT 系统的现行安全控制措施与计划安全控制措施。表 E 安全控制控制地方 现行/计划 控制措施1 风险管理
5、1.1 IT 安全角色 (2) 可能导致主要的有形资产、资源或敏感数据的丢失； (3) 可能显著地损害、阻碍 COV 的任务、名声或兴趣. 中 出现的风险: (1) 可能导致人身伤害; (2) 可能导致贵重的有形资产或资源的丢失 (3) 可能违反、损害阻碍 COV 的任务、名声或兴趣.低 出现的风险: (1) 可能导致一些有形的资产、资源的丢失(2) 可能明显地影响阻碍 COV的任务、名声或兴趣.表 J 风险影响分析风险序号风向总结 风险影响 风险影响等级123456789风险评估报告风险序号风向总结 风险影响 风险影响等级10111213141516171819202122232425用于确
6、定影响的等级的过程描述：风险评估报告7.风险确定表 K：确定全面的风险等级的标准表 K 总体风险评估矩阵风险评估报告风险影响风险可能性 低(10)中(50)高(100)高(1.0)低10 x 1.0 = 10中50 x 1.0 = 50高100 x 1.0 = 100中(0.5)低10 x 0.5 = 5中50 x 0.5 = 25中100 x 0.5 = 50低(0.1)低10 x 0.1 = 1低50 x 0.1 = 5低100 x 0.1 = 10风险系数: 低 (1 to 10); 中 (10 to 50); 高 (50 to 100)表 L 总体风险评级表风险序号风险总结 风险可能性评级 风险影响性评级 总体风险评级12345678910111213风险评估报告风险序号风险总结 风险可能性评级 风险影响性评级 总体风险评级141516171819202122232425用于确定总体风险等级的过程描述：风险评估报告8.建议表 M：对表 D 中被识别的风险的建议表 M 建议序号 风险 风险等级 建议1234风险评估报告5678910111213141516171819202122232425风险评估报告9.结果报告图示 1 风险评估矩阵序号 脆弱性 威胁性 风险 风险总结风险可能性等级风险影响性等级总体风险等级有关控制措施和其它因素的分析建议12345678910
