深圳市信息安全风险评估分析报告范本.docVIP

深圳市某某局 2008 年信息安全风险评估报告 深圳市某某局 二〇〇八年八月六 日 目 录 风险评估结论 I 1 评估工作概述 1 11 评估范围 1 12 评估组织 2 2 评估依据和标准 3 3 资产识别 5 31 资产识别内容和方法 5 32 重要资产的确定及三性赋值 8 4 威胁识别 11 5 脆弱性识别 15 51 脆弱性识别内容及方法 15 52 脆弱性识别结果 15 6 综合风险分析 19 61 风险分析方法 19 62 风险等级划分 19 63 不可接受风险划分 20 64 风险分析结果 20 7 风险统计 26 8 不可接受风险处理计划 28 风险评估结论 此次风险评估我局确定的评估范围为OA 系统评估共发现信息 安全风险60 个其中极高风险6 个高风险 14 个中风险 1 个低 风险20 个极低风险19 个经分析确定60 个风险中40 个为可以 接受20 个为不可接受 为消除不可接受的风险相应的处理计划如下 1 OA 数据库服务器应用服务器内网管理及病毒服务器将及时 升级系统补丁并强制用户口令强度和更改频率 降低风险 2 OA 应用服务器应启用帐户锁定策略防止非授权访问 3 防火墙及主要的网络设备将启用日志功能 规避抗抵赖的风险 同时还将尽快建立操作规程规范操作过程 4 主要的网络设备将建立访问控制策略规避非授权访问的风险 5 业务系统的关键网络数据在进行传输时将采取适当的必威体育官网网址措施 并进行完整性校验 6 核心机房的物理访问控制将建立来访人员登记制度 评估单位 深圳市某某局 公章 批准人 某某某 深圳市信息安全测评中心 -I- 2008 年信息安全风险评估报告范本 1 评估工作概述 我局于2008 年6 月2 日至8 月6 日开展了信息安全风险自评估工作本次风险 评估工作主要依托信息中心的技术人员开展行政办公室财务室业务一处业务 二处秘书处参与了该项工作 11 评估范围 评估范围概述 本次评估范围为我局的OA 系统 该系统是一个基于BS 架构的办公自动化系统系统建设目标是将传统手工纸 面封闭的运作方式转换成自动电子开放的方式提高行政管理及相关业务的工 作质量和效率并为全面信息化建设做好准备工作 使用该系统的部门包括行政办公室财务室业务一处业务二处秘书处信 息中心 日常用户数为120 人管理该系统的部门主要为秘书处信息中心其中秘 书处主要负责系统的业务管理信息中心主要负责系统的技术保障 系统主要功能构成 该系统主要功能包括 1 各部门协同办公系统主要功能包括非涉密电子公文交换公文流转通知 公告资料交换事务呈签等日常办公功能 2 综合资料管理系统实现文档的一体化管理各种类型的信息按分类和分级 管理提供完善的查询检索功能 3 若干辅助办公系统主要包括请示报告处理系统简易发文系统短信电 子邮件局领导日程安排个人日程安排等 深圳市信息安全测评中心 - 1 - 2008 年信息安全风险评估报告范本 网络拓扑 评估边界 此次评估的范围为上述拓扑图中框内部分 框外部分不属于本次评估范围拓扑 图中隔离网闸内接口华为交换机内接口为评估边界 12 评估组织 我局专门成立了自评估工作小组负责开展本次评估工作自评估工作小组组长 最高管