ISO27001信息安全管理体系信息安全风险评估表.docxVIP

类别编

号

资产编号

资产名称

功能描述

威胁内容(威胁源、

动机)

脆弱性

影响后果

资产重要程度

现行控制方式

威胁发率

脆弱被利用率

风除位

风险等级

风险处理方式

应对措施

资产重要程度

威胁发生的评率

脆弱性被利用率

残余风险值

风险等级

否是受接

10

10

10

10

10

30

10

10

10

10

置

置

豆

置

虽

豈

豆

00

10

10

10

30

10

30

30

自然灾难：地震、

洪水、台风

缺乏应急机制

文件信息丢失，人事

工作开展困难

5

对重要数据进行定

期移动硬盘备份

2

10

1

接受

盗窃

存放缺乏保护

合同丢失，影响后续

服务或收款等内容

5

合同报价等资料放

在上锁的文件柜中

1

2

10

1

接受

SL-DATA-0

27

CRME和快普

数据库

ERP系统数

据

未经授权使用、访

问、复制

访间权限没有控制

数据被删除，修改或

泄密

5

通过域控，系统密码控制，严格控制访问

权限

2

3

30

3

控制

增加准入设备，对访问权限和访问区域进

行规定

5

1

5

接受

未经授权更改

访问权限没有控制

公司业务无法开展

通过域控，系统密码控制，严格控制访问

权限

2

3

30

3

控制

增加准入设备，对访问权限和访问区域进

行规定

5

1

5

接受

5

电子存储媒体故障

存放缺乏保护

数据丢失业务无法

开展

5

通过服务器备份数

据

2

3

30

3

控制

增加专门数据备份系统，对数据进行实时

备份

5

1

5

接受

瘟疫、火灾、爆炸

雷击、恐怖袭击等

缺乏应急机制

文件信息丢失，人事

工作开展困难

5

对重要数据进行定期移动硬盘备份，设

置放雷机制

2

10

1

接受

自然灾难：地震、

洪水、台风

缺乏应急机制

文件信息丢失，人事

工作开展困难

对重要数据进行定

期移动硬盘备份

2

10

1

接受

SL-DATA-O

28

公司办公租

赁合同

合同

未经授权使用、访

问、复制

缺乏物理防护机制

供应商信息被客户或竞争对手获得，供应商投诉或业务无

法开展

合同报价等资料放

在上锁的文件柜中

2

10

1

接受

瘟疫、火灾、爆炸，

雷击、恐怖袭击等

缺乏应急机制

文件信息丢失，人事

工作开展困难

5

设置必要的放火，放

雷机制

2

3

30

3

接受

网络传输中被窃取

未使用密码技术

文件信息外泄

5

使用加密系统控制

2

3

30

3

接受

自然灾难：地震、

洪水、台风

缺乏应急机制

文件信息丢失，人事

工作开展困难

5

对重要数据进行定

期移动硬盘备份

1

2

10

1

接受

盗窃

存放缺乏保护

合同丢失，影响后续

服务或收款等内容

5

合同报价等资料放

在上锁的文件柜中

2

10

1

接受

SL-DATA-O

30

SL-DATA-O

32

公司各类财务数据及报

表

公司经营相关数据及资

料

财务数据

未经授权使用、访

问、复制

访问权限没有控制

数据被删除，修改或

泄密

5

通过域控，系统密码控制，严格控制访问

权限

2

3

30

3

控制

增加准入设备，对访问权限和访问区域进

行规定

5

5

接受

未经授权更改

访问权限没有控制

公司业务无法开展

5

通过域控，系统密码控制，严格控制访问

权限

2

3

30

3

控制

增加准入设备，对访问权限和访问区域进

行规定

5

1

5

接受

电子存储媒体故障

存放缺乏保护

数据丢失业务无法

开展

5

通过服务器备份数

据

2

3

30

3

控制

增加专业数据备份系统，对数据进行实时

备份

5

1

5

接受

瘟疫、火灾、爆炸，

雷击、恐怖袭击等

缺乏应急机制

文件信息丢失，人事

工作开展困难

5

对重要数据进行定期移动硬盘备份，设

置放雷机制

1

2

10

1

接受

自然灾难：地震、

洪水、台风

缺乏应急机制

文件信息丢失，人事

工作开展困难

5

5

对重要数据进行定

期移动硬盘备份

2

10

1

接受

SL-DATA-0

31

公司资质文件及认证证

书

资质资料

未经授权使用、访

问、复制

人员缺乏安全意识

文件信息外泄

进行员工信息安全

意识培训

2

10

1

接受

不正确的废弃

人员缺乏安全意识

文件信息外泄

进行员工信息安全

意识培训，

2

10

1

接受

SL-DATA-0

36

SL-DATA-0

42

报价(给渠

道)

渠道合同

合同，报价

信息

未经授权使用、访

问、复制

缺乏物理防护机制

供应商信息被客户或竞争对手获得，供应商投诉或业务无

法开展

合同报价等资料放

在上锁的文件柜中

2

10

1

接受

不正确的废弃

人员缺乏安全意识

文件信息外泄

5

进行员工信息安全

意识培训，

1

2

10

接受

瘟疫、火灾、爆炸

雷击、恐怖袭