信息安全风险评估表.xlsVIP

风险等级 控制措施有效性 脆弱程度 威胁程度 重要性 法律法规合同符合性 可用性 完整性 保密性 风险评估表 资产类别 部门编号规则 发布记录 封面 Calc_sens2 Clear_sens2 Ver 1.0 2015年02月14日 版本号 编制人/ 创建日期 审核人/ 审核日期 批准人/ 批准日期 发布日期/ 实施日期 分发编号 V1.0 / 部门 部门编号 人事行政部 YSSM01 产品中心 YSSM02 营销中心 YSSM03 客户服务中心 YSSM04 质量保障部 YSSM05 综合管理部 YSSM06 财务部 YSSM07 资产分类 类别编号 人员 LB100X 数据资产 LB200X 文档资产 LB300X 软件资产 LB400X 物理资产 LB500X 服务 LB600X 无形资产 LB700X 注:X为序号 资产 资产重要性 固有风险评估 现有控制措施 选择控制目标和控制措施 控制后残余风险 剩余风险评估 序号 资产名称（标识） 资产类别 功能描述 所属部门 责任人 资产重要性值 保密性(C) 完整性(I) 可用性(A) 法律与法规符合性(L) 威胁表现 威胁程度 脆弱性表现 脆弱程度 固有风险值 固有风险等级 现有控制措施描述 现有风险值 现有风险等级 ISO27001附录A条款 ISO27001附录A控制措施 资产责任部门/责任人 控制措施实施责任部门 控制措施实施责任人 计划开始时间 计划完成时间 实际开始时间 实际完成时间 相关体系文件 风险值 实际实施控制措施有效性 残余风险等级 是否接受 总经理 LB1001 主导公司业务 人身意外 可能遭受环境灾害或其他意外事故 提高自身安全 YES 无意泄露公司机密 缺乏相关安全操作流程和法律意识 制定操作流程;制定了一些安全控制措施,但措施不够和增强法律意识 总经理PC LB5001 一般办公 恶意代码（如病毒、逻辑炸弹、木马） 缺乏安全意识 安装防杀毒软件 A.10.4.1 应实施恶意代码的监测、预防和恢复的控制措施，以及适当的提高用户安全意识的程序。 软件研发中心 见SOA 系统漏洞 设置自动更新补丁服务。 A.10.3.2 应建立对新的信息系统、升级及新版本的验收准则，并且在开发中和验收前对系统进行适当的测试。 系统入侵 加强员工教育。 未经授权的系统访问 弱的密码管理 权限设置须申请;审批 A.11.1.1 访问控制策略应建立、形成文件，并基于业务和访问的安全要求进行评审。 意外断电 缺乏意识 无 A.9.2.2 应保护设备使其免于由支持性设施的失效而引起的电源故障和其他中断。 丢失 专人专有场所保管。 遭盗用 被不法分子利用 专人保管设置权限 加强安全教育 公司法人章 财务专用章 LB5002 LB5003 综合管理部/财务部 经理 负责公司技术研发工作 人员流动 被其他更高薪水或职位的公司所聘请 保密协议、合同、法律的约束。 兜售公司其重要信息 可能被其他公司所利用导致人员被挖走 增强员工法律、安全意识培训 电子邮件数据 LB2001 设备故障 缺乏定期更换计划 环境控制 软件本身存在的漏洞 程序源代码 LB2002 设计文档 LB2003 SVN LB3002 配置管理 OA系统服务器 经理PC 程序开发员PC-A 程序开发员PC-B 程序开发员PC-C 程序开发员PC-D LB5002 LB5003 LB5004 LB5005 数据采集器 LB5008 合同，协议 条码打印机 LB5009 汽车 LB5010 交通工具 项目经理 负责公司项目实施工作 项目管理部 信息安全管理员 LB1002 负责公司网络，服务器维护 需求分析书 Windows 2000 windows 7 windows XP 360卫士office2 007 office2003 PowerBuild6.5 PowerBuild11.5 ESET NOD32 Oracle 9i Oracle 10g PL SQL SQL 2000 金蝶2000 VPN Flex VS2005 Esci Delphi 7 photoshop VC Pocketbuilder WinRAR LB4001 LB4002 LB4003 LB4004 LB4005 LB4006 LB4007 LB4008 LB4009 LB4010 LB4011 LB4012 LB4013 LB4015 LB4016 LB4017 LB4018 LB4019 LB4020 LB4021 LB4022 LB4026 系统软件 办公软件 开发软件 数据库软件 实施用PC 测试用PC实