xxxx有限公司
无线网络安全风险评估报告
xxxx有限公司
二零一八年八月
1.目标
xxxx有限公司无线网络安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。
一.评估依据、范围和方法
1.1评估依据
根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。
1.2评估范围
本次无线网络安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础无线网络信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、无线路由器、无线AP系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。
1.3评估方法
采用自评估方法。
2.重要资产识别
对本司范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总。
3.安全事件
对本司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。
4.无线网络安全检查项目评估
1.评估标准
无线网络信息安全组织机构包括领导机构、工作机构。岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。病毒管理包括计算机病毒防治管理制度、定期升
级的安全策略、病毒预警和报告机制、病毒扫描策略（1周内至少进行一次扫描）。
2.现状描述
本司已成立了信息安全领导机构，但尚未成立信息安全工作机构。配置专职网络管理人员，专责的工作职责与工作范围有明确制度进行界定。本司使用360防病毒软件进行病毒防护，病毒预警是通过第三方和网上提供信息来源，每月统计、汇总病毒感染情况并提交局生技部和省公司生技部；每周进行二次自动病毒扫描；没有制定计算机病毒防治管理制度。
3.评估结论
完善信息安全组织机构，成立信息安全工作机构。完善病毒预警和报告机制，制定计算机病毒防治管理制度。
5.无线网络账号与口令管理
1.评估标准
制订了账号与口令管理制度；普通用户账户密码、口令长度要求符合大于6字符，管理员账户密码、口令长度大于8字符；半年内账户密码、口令应变更并保存变更相关记录、通知、文件，半年内系统用
户身份发生变化后应及时对其账户进行变更或注销。
2.现状描述
本司以制订账号与口令管理制度，普通用户账户密码、口令长度要求大部分都符合大于6字符；管理员账户密码、口令长度大于8字符，半年内账户密码、口令有过变更，但没有变更相关记录、通知、文件；半年内系统用户身份发生变化后能及时对其账户进行变更或注销。
3.评估结论
制订账号与口令管理制度，完善普通用户账户与管理员账户密码、口令长度要求；对账户密码、口令变更作相关记录；及时对系统用户身份发生变化后对其账户进行变更或注销。
6.无线网络与系统安全评估
1.评估标准
无线局域网核心交换设备、城域网核心路由设备应采取设备冗余或准备备用设备，不允许外联链路绕过防火墙，具有当前准确的网络拓扑结构图。无线网络设备配置有备份，网络关键点设备采用双电源，关闭网络设备HTTP、FTP、TFTP等服务，SNMP社区串、本地用户口令强健（>8字符，数字、字母混杂）。
2.现状描述
无线局域网核心交换设备准备了备用设备，城域网核心路由设备采取了设备冗余；没有不经过防火墙的外联链路，有当前网络拓扑结构图。网络设备配置没有进行备份，网络关键点设备是双电源，网络设备关闭了HTTP、FTP、TFTP等服务，SNMP社区串、本地用户口令没达到要求。
3.评估结论
无线局域网核心交换设备、城域网核心路由设备按要求采取设备冗余或准备备用设备，外联链路没有绕过防火墙，完善网络拓扑结构图。对网络设备配置进行备份，完善SNMP社区串、本地用户口令强健（>8字符，数字、字母混杂）。
7.ip管理与补丁管理
1.评估标准
有无线IP地址管理系统，无线IP地址管理有规划方案和分配策略，无线IP地址分配有记录。有补丁管理的手段或补丁管理制度，
Windows系统主机补丁安装齐全，有补丁安装的测试记录。
2.现状描述
有IP地址管理系统，正在进行对IP地址的规划和分配，IP地址分配有记录。通过手工补丁管理手段，没有制订相应管理制度；Windows 系统主机补丁安装基本齐全，没有补丁安装的测试记录
3.评估结论
加快进行对IP地址的规划和分配，IP地址分配有记录。完善补丁管理的手段，制订相应管理制度；补缺Windows系统主机补丁安装，补丁安装前进行测试记录。
8.防火墙
1.评估标准
无线网络中的防火墙位置部署合理，防火墙规则配置符合安全要求，防火墙规则配置的建立、更改有规范申请、审核、审批流程，对防火墙日志进行存储、备份。
2.现状描述
无线网络中的防火墙位置部署合理，防火墙规则配置符合安全要
求，防火墙规则配置没有建立、更改有规范申请、审核、审批流程，对防火墙日志没有进行存储、备份。
3.评估结论
网络中的防火墙位置部署合理，防火墙规则配置符合安全要求，防火墙规则配置的建立、更改要有规范申请、审核、审批流程，对防火墙日志应进行存储、备份。
9.自评总结
通过对上述的现状分析进行了自评估，总的来看，有了初步的安全基础设施，在管理方面具备了部分制度和策略，安全防护单一，技术上通过多种手段实现了基本的访问控制，但相应的安全策略、安全管理与技术方面的安全防护需要更新以适应要求。
需要对安全措施和管理制度方面进行改善，通过技术和管理两个方面来确保策略的遵守和实现，最终能够将安全风险控制在适当范围之内，保证和促进业务开展。
XXXX银行 无线网络风险评估报告 X X X X银行 2018年08月21日 一、风险评估项目概述
（一）、项目概述 无线网络作为XXXXXXXX银行股份（以下简称XXXX银行）重要的信息系统之一，保证无线网络的安全、稳健运行，为客户提供安全、便捷的服务，是XXXX银行无线网络建设的根本目标。为了客观全面了解全行无线网络的信息安全效能，XXXX银行科技信息部按照相关评估程序和执行标准开展了针对无线网络的风险评估工作，为该系统日后的良好安全运行，打下坚实的基础。 本次对无线网络风险评估的目的是评估其风险状况，提出风险控制建议，同时为下一步的安全建设和风险管理提供依据和建议。 （二）、风险评估工作组织 为了确保本次风险评估工作的顺利开展，受XXXX银行党委委托，由科技信息部负责组织开展此次评估，并成立无线网络风险评估工作小组，具体如下：项目组长：XX 安全技术评估人员：XX 文档支持人员：XX 项目组长：是风险评估项目中实施方的管理者、责任人，具体工作职责包括：（1）根据项目情况组建评估项目实施团队。 （2）根据项目情况与被评估方一起确定评估目标和评估围，并组织项目组成员。 （3）根据评估目标、评估围及系统调研的情况确定评估依据。 （4）组织项目组成员开展风险评估各阶段的工作，并对实施过程进行监督、协调和控制，确保各阶段工作的有效实施。 （5）与被评估组织进行及时有效的沟通，及时商讨项目进展状况及可能发生问题的预测等。 （6）组织项目组成员将风险评估各阶段的工作成果进行汇总，编写《风险评估报告》等项目成果物。 （7）负责将项目成果物移交给被评估组织，向被评估组织汇报项目成果，并提请项目验收。 安全技术评估人员：负责项目术方面评估工作的实施人员，具体工作职责包括：（1）根据评估目标与评估围的确定参与系统调研。 （2）实施各阶段具体的技术性评估工作。 （3）对评估工作中遇到的问题及时向项目组长汇报，并提出需要协调的资源。 （4）将各阶段的技术性评估工作成果进行汇总，参与编写《风险评估报告》等项目成果物。 （5）负责向被评估方解答项目成果物中有关技术性细节问题。 文档支撑人员：负责支撑测评人员出具的测评过程文档校对工作。具体工作职责包括： 根据项目中要求出具的文档进行校对，包括文档格式是否正确、文档容是否符合当前实际情况、是否需要新加其它文档。提出文档整改建议并且参与《风险评估报告》的编写。 二、风险评估围
网络安全风险评估 网络安全主要包括以下几个方面：一是网络物理是否安全;二是网络平台是否安全;三是系统是否安全;四是信息数据是否安全;五是管理是否安全。 一、安全简介： (一)网络物理安全是指计算机网络设备设施免遭水灾、火 灾等以及电源故障、人为操作失误或错误等导致的损坏，是整个网络系统安全的前提。 (二)网络平台安全包括网络结构和网络系统的安全，是整 个网络安全的基础和。安全的网络结构采用分层的体系结构，便于维护管理和安全控制及功能拓展，并应设置冗余链路及防火墙、等设备;网络系统安全主要涉及及内外网的有效隔离、内网不同区域的隔离及、网络安全检测、审计与监控(记录用户使用的活动过程)、网络防病毒和等方面内容。 二、安全风险分析与措施： 1、物理安全：公司机房设在4楼，可以免受水灾的隐患；机 房安装有烟感报警平台，发生火灾时可以自动灭火；机房 安装有UPS不间断电源、发电机，当市电出现故障后， 可以自动切换至UPS供电；机房进出实行严格的出入登 记流程，机房大门安装有门禁装置，只有授权了的管理员 才有出入机房的权限，机房安装了视频监控，可以对计算 机管理员的日常维护操作进行记录。
2、网络平台安全：公司网络采用分层架构（核心层、接入层）， 出口配备有电信、联通双运营商冗余链路，主干链路上安 装有H3C防火墙、H3C入侵防御设备，防火墙实现内外 网边界，互联网区、DMZ区、内网区的访问控制及逻辑 隔离，入侵防御设备可以有效抵御外来的非法攻击；在内 网办公区与服务器区之间，部署防火墙，实现办公区与服 务器区的访问控制及隔离，内网部署了堡垒机、数据库审 计与日志审计系统，可以有效记录用户使用计算机网络系 统的活动过程。 3、系统安全：公司各系统及时安装并升级补丁，可以及时的 修复系统漏洞，同时在关键应用系统前部署WAF，防护 来自对网站源站的动态数据攻击，电脑终端与服务器系统 安装杀毒软件，可以对病毒进行查杀。 4、信息数据安全：公司通过防火墙实现了内外网的逻辑隔离， 内网无法访问外网；同时部署了IP-guard加解密系统，借 助IP-guard，能够有效地防范信息外泄，保护信息资产安 全；对重要数据提供数据的本地备份机制，每天备份至本 地。 5、管理安全：公司严格按照等级保护之三级等保技术要求和 管理要求制定了一套完善的网络安全管理制度，对安全管 理制度、安全管理机构、人员安全管理、系统建设管理、 系统运维管理各个方面都做出了要求。
****医院检验科实验室生物安全 风险评估报告 依据《病原微生物实验室生物安全管理条例》、《实验室生物安全通用要求》、《微生物和生物医学实验室生物安全通用准则》、《医疗废物管理条例》，2015年3月，按照检验科制定《风险评估和风险控制程序》[YX-BS-011]，由医院生物安全委员会主持，检验科生物安全管理小组参与，对检验科生物安全作风险评估，形成报告如下： 一、生物因子已知或未知的特性评估 国家根据病原微生物的传染性、感染后对个体或群体的危害程度，将病原微生物分为四类，其中一类和二类统称高致病病原微生物。 我院检验科属二级生物安全实验室，不得从事致病病原微生物的检测工作，但在临床工作中，必须将强调高致病病原微生物的监测，发现可疑高致病病原微生物，必须采取积极措施，及时报告。 1、我院潜在的一类和二类病原微生物评估： 炭疽芽孢杆菌、布鲁氏菌、鼻疽伯克菌、结核分枝杆菌、霍乱弧菌、鼠疫耶尔森菌等。 对上述高致病性生物因子的种类、来源、传染性、传播途径、易感性、潜伏期、剂量-效应（反应）关系、致病性（包括急性与远期效应）、变异性、在环境中的稳定性、与其他生物和环境的交互作用、相关实验数据、流行病学资料、预防和治疗方案，做全面的了解，引领全科职工共同学习掌握。 2、防控措施： 2.1 立即对可疑高致病病原微生物培养物封存。 2.2 立即分别报告医院感控科、卫生局和市疾病预防控制中心。 2.3 对实验室进行全面消毒，包括工作台面、地面、仪器表面、空气等。 2.4 接触人员更换个人防护用品，并对用品进行消毒。 2.5 感控科收集病人相关信息资料，对病人实施隔离，协助市疾病预防控制中心进行流行病学调查。
网络安全风险评估 从网络安全威胁看，该集团网络的威胁主要包括外部的攻击和入侵、内部的攻击或误用、企业内的病毒传播，以及安全管理漏洞等方面。因此要采取以下措施增强该集团网络安全： A：建立集团骨干网络边界安全，在骨干网络中Internet出口处增加入侵检测系统或建立DMZ区域，实时监控网络中的异常流量，防止恶意入侵，另外也可部署一台高档PC服务器，该服务器可设置于安全管理运行中心网段，用于对集团骨干网部署的入侵检测进行统一管理和事件收集。 B：建立集团骨干网络服务器安全，主要考虑为在服务器区配置千兆防火墙，实现服务器区与办公区的隔离，并将内部信息系统服务器区和安全管理服务器区在防火墙上实现逻辑隔离。还考虑到在服务器区配置主机入侵检测系统，在网络中配置百兆网络入侵检测系统，实现主机及网络层面的主动防护。 C：漏洞扫描，了解自身安全状况，目前面临的安全威胁，存在的安全隐患，以及定期的了解存在那些安全漏洞，新出现的安全问题等，都要求信息系统自身和用户作好安全评估。安全评估主要分成网络安全评估、主机安全评估和数据库安全评估三个层面。 D：集团内联网统一的病毒防护，包括总公司在内的所有子公司或分公司的病毒防护。通过对病毒传播、感染的各种方式和途径进行分析，结合集团网络的特点，在网络安全的病毒防护方面应该采用“多级防范，集中管理，以防为主、防治结合”的动态防毒策略。 E：增强的身份认证系统，减小口令危险的最为有效的办法是采用双因素认证方式。双因素认证机制不仅仅需要用户提供一个类似于口令或者PIN的单一识别要素，而且需要第二个要素，也即用户拥有的，通常是认证令牌，这种双因素认证方式提供了比可重用的口令可靠得多的用户认证级别。用户除了知道他的PIN号码外，还必须拥有一个认证令牌。而且口令一般是一次性的，这样每次的口令是动态变化的，大大提高了安全性。 补充：最后在各个设备上配置防火墙、杀毒软件，通过软件加强网络安全
目录 安全风险评估小组成立通知 (2) 生产安全事故风险评估报告明编制说明 (3) 生产安全事故风险评估报告 (3) 一、评估目的 (3) 二、评估原则 (3) 三、评估组织 (3) 四、评估过程 (4) 五、风险评估范围 (4) 六、危险源辨识 (5) 七、评估结果 (11) 1、火灾 (11) 2、机械伤害 (11) 3、触电伤害 (12) 4、自然灾害 (12) 八、预防控制措施 (13) 九、评估结论 (13)
X X X X X X X X X有限责任公司文件 关于成立安全风险评估及应急资源调查小组的 通知 安( ) 10号 公司各单位: 为了贯彻落实《中华人民共和国安全生产法》、《中华人民共和国突发事件应对法》保护公司员工的生命安全, 减少财产损失, 使事故发生后能够快速、有效、有序地实施应急救援, 根据国家安全生产监督管理总局发布实施的《生产安全事故应急预案管理办法》( 国家安监总局令第88号) 和河南省《生产安全事故应急预案管理办法》实施细则( 豫安委[ ]第15号) 、《河南省突
发事件应急预案管理办法》豫政办〔〕141号的相关要求, 公司成立安全风险评估及应急资源调查小组。 组长: XXX 副组长: XXXXXX 成员: XXX XXX XXX XXX XXX XXX 特此通知。 XXXXXXXXXXX有限责任公司 11月10日 生产安全事故风险评估报告明编制说明 根据《安全生产法》、《生产安全事故应急预案管理办法》( 国家安全监管总局令第88号) 和《生产经营单位生产安全事故应急预案编制导则》( GB/T29639- ) 等有关规定, 公司根据企业生产的实际情况, 对生产过程中存在的危险因素和事故风险进行分析、评估, 经过对危险因素分析和事故风险评估, 查找生产过程中潜在的危险、危害因素, 分析可能造成生产安全事故的触发条件, 为编制生产安全事故应急预案提供技术支持。公司成立了以总经理为
附件： 信息系统 信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位：
年月日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (4) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (5)
5.1威胁数据采集 (5) 5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (6) 6.1.1 管理脆弱性 (6) 6.1.2 网络脆弱性 (6) 6.1.3系统脆弱性 (6) 6.1.4应用脆弱性 (6) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (7) 7.1关键资产的风险计算结果 (7) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
xxxx有限公司 无线网络安全风险评估报告 xxxx有限公司 二零一八年八月
1.目标 xxxx有限公司无线网络安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 一.评估依据、范围和方法 1.1评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。 1.2评估范围 本次无线网络安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础无线网络信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、无线路由器、无线AP系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。
1.3评估方法 采用自评估方法。 2.重要资产识别 对本司范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总。 3.安全事件 对本司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。 4.无线网络安全检查项目评估 1.评估标准 无线网络信息安全组织机构包括领导机构、工作机构。岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。病毒管理包括计算机病毒防治管理制度、定期升
第一章概述一、施工安全风险评估简介 （一）、评估目的 *****工程环境条件复杂，施工组织实施困难，作业安全风险高居不下，一直以来是行业安全监管的重点环节。在施工阶段建立安全风险评估制度，通过定性或定量的施工安全风险估测，能够增强安全风险意识，改进施工措施，规范预案预警预控管理，有效降低施工风险，严防重特大事故发生。 施工安全风险评估是*****工程设计风险评估在实施阶段的深化和落实，根据项目施工组织设计内容，辨识和评价本工程施工过程中可能存在的风险源的种类和程度，提出合理可行的安全对策措施及建议。贯彻“安全第一、预防为主、综合治理”的方针，为本工程施工阶段的安全管理提供科学依据，确保建设项目施工期间实现安全生产，使事故和危害引起的损失最少。 本次评估的目的是在对施工图设计、*****工程施工组织设计等项目建设资料进行研究的基础上，根据同类工程建设过程中发生的相关安全事故特点，辨识本项目施工过程中各项作业活动、作业环境、施工设备、危险物品等所潜在的风险，并对其进行定性、定量分析，以求明确各类危险源的种类及危害程度，进而从安全技术和组织管理等方面提出可行的安全措施，提高本工程施工期间的安全度，实现安全生产。 （二）、评估原则 本次评估以国家现行的有关安全生产的法律、法规及技术标准为依据，以《铜川市川口至青岗岭区域生态治理修复项目工程施工图设计》、《铜川市川口至青岗岭区域生态治理修复项目工程施工组织设计》为基础，用科学的评估方法和规范的评估程序，坚持科学性、公正性、针对性等原则，以严肃的科学态度开展本工程的施工安全风险评估工作。 （三）、评估内容 *****工程施工安全风险评估包括总体风险评估和专项风险评估两项内容。 1、总体风险评估 *****工程开工前，根据山体、基石雕塑、河道的地质环境条件、建设规模、结构特点等致险环境与致险因子，估测本工程施工期间的整体安全风险大小，确定静态条件下的安全风险等级。 2、专项风险评估 当本工程总体风险评估等级达到Ⅲ级（高度风险）及以上时，将其中高风险的施工作业活动（或施工区段）作为评估对象，按照施工组织设计所确定的施工工法，分解施工作业程序，结合工序（单位）作业特点、环境条件、施工组织等致险因子及类
XXXXX公司 信息安全风险评估报告
历史版本编制、审核、批准、发布实施、分发信息记录表
一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与 服务的企业。 3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。 4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。 二. 风险评估目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。 三. 风险评估日期： 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。 五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组； 2、通过咨询公司对风险评估小组进行相关培训； 3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方 法； 4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产 清单；
5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级； 6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施； 7、对于可接受的剩余风险向公司领导汇报并得到批准。 六. 风险评估概况 根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。主要工作过程如下： 1.2017-9-10 ~ 2017-9-10，风险评估培训； 2.2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法； 3.2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为 物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类； 4.2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在 风险，并在ISMS工作组内审核； 5.2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表； 6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作 组组织审核，并最终汇总形成本报告。 . 七. 风险评估结果统计 本次风险评估情况详见各部门“风险评估表”，其中共识别出资产190个，重要资产115个，信息安全风险115个，不可接受风险42个.
安全风险分析报告 产品名称：（注册标准上的名称） 风险评价人员及背景：（项目组长、医学角度的大夫、技术角度的设计人员、应 用角度的、市场角度的，并提供人员资格证明，如受过的培训资格、职称等级） 编制：日期：
批准：日期：
1. 编制依据 1.1 相关标准 1) YY0316-2003 医疗器械——风险管理对医疗器械的应用 2) GB9706.1-1995 医用电气设备第一部分：通用安全要求； 3) IEC60601-1-4：1996 医用电器设备——第一部分：通用安全要求——4：并行标准：医用可编程电气系统 4) 产品标准及其他 1.2 产品的有关资料 1)使用说明书 2)医院使用情况、维修记录、顾客投诉、意外事故记录等 3)专业文献中的文章和其他信息 2. 目的和适用范围 本文是对XXXX 进行风险管理的报告，报告中对所有的可能危害以及每一个危害产生 的原因进行了判定。对于每种危害可能产生损害的严重度和危害的发生概率进行了估计。在某一风险水平不可接受时，采取了降低见的控制措施，同时，对采取风险措施后的剩余风险进行了评价。最后，使所有的剩余风险的水平达到可以接受。 本报告适用于……产品，该产品处于设计和开发阶段(或处于小批生产阶段)。 3. 产品描述 本风险管理的对象是……(如能加入照片或图片最好)，产品概述、机理、用途 适应症： 禁忌症： 设备由以下部分组成：（文字描述或示意图） 4. 产品预期用途以及与安全有关的特征的判定 （依序回答附录 A 用于判定医疗器械可能影响安全性的特征的问题） 4.1 产品的预期用途、预期目的是什么？如何使用？ 应考虑的因素：预期使用者及其精神、体能、技能水平、文化背景和培训等情况 人机工程学问题、医疗器械的使用环境和由谁安装 患者是否能够控制和影响医疗器械的使用 医疗器械是否用于生命维持或生命支持 在医疗器械失效的情况下是否需要特殊的干预 是否有接口设计方面的特殊问题可以导致不经心的使用错误（见4.27） 设备起诊断、预防、治疗、缓解或创伤补偿、解剖矫正、妊娠控制的 服务热线：xx-xx-xx 哪个作用 4.2 医疗器械是否预期和患者或其他人员接触、如何接触、接触时间长短？ 应考虑的因素：预期接触的性质：表面接触、有创接触和（或）植入 每种接触的时间长短 每种接触的频次 4.3 在医疗器械中包含有何种材料和（或）组分或与其共同使用、或与医疗器械接触？
XXXXXX工程 安全风险评估报告 Ⅰ.评估说明 一．通信网络安全风险评估概述： 为了加强网络安全管理，对于通信网络安全建设我们应当坚持光缆网络工程项目与通信网络安全保障设施同步建设，并与主体工程同步进行验收和投入运行；光缆网络工程的具体施工作业在制定技术方案时必须落实网络安全防护和技术保障措施；光缆网络工程施工作业必须严格执行工程建设标准强制性条文，满足网络安全要求等等基本原则。通信网络安全风险评估为建设项目安全验收提供科学依据，对建设项目未达到安全目标的系统或单元提出安全补偿及补救措施及后期整改建议。 二．通信网络安全风险评估技术标准依据： 1.YD/T 1742-2008 《接入网安全防护要求》 2.YD/T 1743-2008 《接入网安全防护检测要求》 3.YD/T 1744-2008 《传送网安全防护要求》 4.YD/T 1745-2008 《传送网安全防护检测要求》
三．通信网络安全风险评估目的、容及围： 1.评估目的与容 1）通信网络安全风险评估的目的 通信网络安全风险评估是按照《通信网络安全防护管理方法》（工信部令第11号）第六条的要求，落实网络安全保障设施与主体工程同步建设、同步验收、同步投入使用及网络信息安全考核相关要求，在落实工程建设网络安全“三同步”工作时，按照下发的实施细则，确保网络安全“三同步”相关要求落到实处。为建设项目安全验收提供科学依据，对建设项目未达到安全目标的系统或单元提出安全补偿及补救措施，以利于提高建设项目本质安全程度，满足安全生产要求。 2）通信网络安全风险评估容 检查建设项目中安全设施是否已与主体工程同时设计、同时施工、同时交付生产和使用；评价建设项目及与之配套的安全设施是否符合国家、行业有关安全生产的法规、规定和技术标准；从整体上评价建设项目的运行状态和安全管理是否正常、安全、可靠。 2.评估围 根据本项目（线路部分）服务合同书的规定容，经与建设单位商定：对通信施工当中的光缆线路防强电、光缆线路防雷、光缆线路防机械损伤、光缆线路防潮、光缆线路防鼠害、防飞禽等的安全风险评估。
现场风险自评报告 一、评估目的 为保障施工任务的正常进行，根据国家有关法律、法规和企业的有关规定，我处组织了对施工危险作业环境进行风险评估，以此减少或杜绝各类安全事故的发生。 二、评估范围 施工现场及具有一般安全风险以上的作业环境。 三、评估人员 台湾金城公司 四、评估时间 2015年8月1日至2015年8月3日 五、评估结果 附：详细风险评估报告
风险评估报告 单位：台湾金城公司 一、工作内容及步骤 工作内容：维修门店蛋糕展示柜 步骤：1、清理现场所有可燃物品。 2、按照安全规定着衣、头戴安全帽 3、作业:割铜管——取坏压缩机——装新压缩机——固定——焊接铜管（需要动火）——抽真空——加氟利昂整个过程只有焊接铜管需要动火，动火时间（断断续续约30分钟），使用丁烷和氧气，丁烷气瓶长约20公分，直径约10公分；氧气瓶长约30公分，直径约15公分；切割时火苗最多10公分。（作业时间30分钟左右） 二、危害（隐患）分析和削减措施 1、人的不安全因素： （1）工作人员身体不适，疲劳、精神状况差，注意力不集中，处理情况反应慢，易受工具、物件高处砸伤及触电事故伤害。 （2）未经过培训的非工作人员进入现场。 （3）工作人员未按安全规定着衣、戴帽进入施工现场。 削减措施： （1）工作人员应注意休息，杜绝精神状况不佳或带病进入
施工现场。 （2）杜绝未经过培训的非工作人员进入施工现场。 （3）严格遵守安全规定着衣戴帽，尽可能减少进入施工现场的人员。 2、施工作业区安全防护缺陷 （1）临时用电电线、开关等电器设施绝缘强度不够，线路架设与热源、火源、车辆及行人通道安全距离不足，电器设备未安装或为合理选用保险装臵以及超负荷使用，易发生触电伤害事故。 削减措施： （1）临时用电线路、电器应满足施工需要和安全规范要求，线路架设应符合安全规范，。 （2）监火人应熟悉现场环境和检查确认安全措施落实到位，具备相关安全知识和应急技能，与岗位保持联系，随时掌握工况变化，并坚守现场;监火人随时扑灭飞溅的火花，发现异常立即通知动火人停止作业，联系有关人员采取措施。
附件： 国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
网络安全风险评估报告 XXX有限公司 20XX年X月X日
目录 一、概述 (4) 1.1工作方法 (4) 1.2评估依据 (4) 1.3评估范围 (4) 1.4评估方法 (4) 1.5基本信息 (5) 二、资产分析 (5) 2.1 信息资产识别概述 (5) 2.2 信息资产识别 (5) 三、评估说明 (6) 3.1无线网络安全检查项目评估 (6) 3.2无线网络与系统安全评估 (6) 3.3 ip管理与补丁管理 (6) 3.4防火墙 (7) 四、威胁细类分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 五、安全加固与优化 (9) 5.1加固流程 (9) 5.2加固措施对照表 (10) 六、评估结论 (11)
一、概述 XXX有限公司通过自评估的方式对网络安全进行检查，发现系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 1.1工作方法 在本次网络安全风险评测中将主要采用的评测方法包括：人工评测、工具评测。 1.2评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及公司文件、检查方案要求, 开展XXX有限公司网络安全评估。 1.3评估范围 此次系统测评的范围主要针对该业务系统所涉及的服务器、应用、数据库、网络设备、安全设备、终端等资产。 主要涉及以下方面： ●业务系统的应用环境； ●网络及其主要基础设施，例如路由器、交换机等； ●安全保护措施和设备，例如防火墙、IDS等； ●信息安全管理体系。 1.4评估方法 采用自评估方法。
安全风险评估报告范文篇一： 叙利亚修井项目安全风险评估报告 1 项目基本情况 1.1项目甲乙方、相关方情况 项目甲方中石化国际勘探开发公司叙利亚公司。 项目乙方为河南油田分公司井下作业处。 1.2项目来源及主要施工区域 该项目是中石化国际勘探开发公司承包的叙利亚Oudeh和Tishrine油田，两油田相距约120km ，Oudeh油田位于叙北部农业区，地势平坦，自然环境较好，距土耳其边境2km。海拔350-400m，夏季较热，冬季最低可到-5℃。工区道路交通情况良好，国家高速公路从油田穿过，Tishrine油田位于伊拉克沙漠延伸的过渡带上，距伊拉克边界30km，地势稍有起伏，植被很少，工区道路交通情况良好。 1.3施工队伍基本情况 中方人员24人，其中项目组4人，现场中方雇员20人，当地雇员46人，分白班和夜班，2个小修作业队。 需投入设备主要有60吨修井机二台，120吨修井机一台，500泥浆泵二台，发电机五台，吊车一台，叉车一台，自吊车一台，资产原值约3100万元。 2 项目总体安全形势分析 2.1 项目所在国安全风险分析 2.1.1阿拉伯叙利亚面积18.5万平方公里(含戈兰高地)。位于亚洲大陆西部，地中海东岸。北与土耳其接壤，东同伊拉克交界，南与约旦毗连，西南与黎巴嫩和巴勒斯坦为邻，西与塞浦路斯隔地中海相望，人口1839.2万，阿拉伯人占80%以上，其他还有库尔德人、亚美尼亚人、土库曼人和彻尔克斯人等。阿拉伯语为国语,通用英语和法语。 2.1.2叙利亚地处中东热点地区，紧邻伊拉克、黎巴嫩和巴勒斯坦，并与以色列长期处于敌对状态，安全形势较为严峻，但叙政府掌控治安能力较强，社会治安状况较好。 2.1.3叙利亚存在的主要风险：
网络安全风险评估报告范文 【IT168 评论】组织不必花费太多时间评估网络安全情况，以了解自身业务安全。因为无论组织的规模多大，在这种环境下都面临着巨大的风险。但是，知道风险有多大吗? 关注中小企业 网络 ___多年来一直针对大型企业进行网络攻击，这导致许多中小企业认为他们在某种程度上是免疫的。但是情况并非如此。其实中小企业面临着更大的风险，因为黑客知道许多公司缺乏安全基础设施来抵御攻击。 根据调研机构的调查，目前43%的网络攻击是针对中小企业的。尽管如此，只有14%的中小企业将其网络风险、漏洞和攻击的能力评估为“高效”。 最可怕的是，有60%的小企业在网络攻击发生后的六个月内被迫关闭。 换句话说，如果是一家财富500强公司或美国的家族企业，网络威胁并不能造成这么大的损失，并且这些公司将会制定计划来保护自己免遭代价昂贵的攻击。
以下是一些可帮助评估组织的整体风险水平的提示： 1.识别威胁 在评估风险时，第一步是识别威胁。每个组织都面临着自己的一系列独特威胁，但一些最常见的威胁包括： ●恶意软件和勒索软件攻击 ●未经授权的访问 ●授权用户滥用信息 ●无意的人为错误 ●由于备份流程不佳导致数据丢失 ●数据泄漏 识别面临的威胁将使组织能够了解薄弱环节，并制定应急计划。
2.利用评估工具 组织不必独自去做任何事情。根据目前正在使用的解决方案和系统，市场上有许多评估工具和测试可以帮助组织了解正在发生的事情。 微软安全评估和规划工具包就是一个例子。组织会看到“解决方案加速器”，它们基本上是基于场景的指南，可帮助IT专业人员处理与其当前基础设施相关的风险和威胁。 利用评估工具可以帮助组织在相当混乱和分散的环境中找到清晰的信息。 3.确定风险等级 了解组织面临的威胁是一回事，但某些威胁比其他威胁更危险。为了描绘出威胁的精确图像，重要的是要指定风险级别。 低影响风险对组织的未来影响微乎其微或不存在。中等影响风险具有破坏性，但可以通过正确的步骤恢复。高影响的风险是巨大的，可能会对组织产生永久性的影响。
目录 第一章概述 (1) 一、评估目的 (1) 第三章风险评估程序和评估方法 (6) 一、风险评估过程 (6) 二、指标体系评估方法 (7) （一）桥梁工程评估方法 (7) （二）高边坡工程评估方法 (15) 第四章总体风险评估 (34) 一、桥梁工程总体风险评估 (34) （一）xxxxxxxxxxxxxxxx桥总体风险评估 (34) （二）xxxxxxxxxxxxx桥总体风险评估 (35) （三）xxxxxxxxxxxxxx桥总体风险评估 (37) （四）xxxxxxxxxxxx道桥总体风险评估 (39) （五）xxx体风险评估 (40) （六）xxxxxxxxxxxxx桥总体风险评估 (42) （七）xxxxxxxxxxx总体风险评估 (44) （八）xxxxxxxxxxx道桥总体风险评估 (45) 二、xxxxxxxxxxxx总体风险评估 (47) 三、XXXXXXXXXXXXXX总体风险评估 (49) （一）xxxxxxxxxxxxxx段路堑边坡总体风险评估 (49) （二）Kxxxxxxxxxxxxxxxxx路堑边坡总体风险评估 (50) （三）xxxxxxxxxxxxxx段路堑边坡总体风险评估 (52) （四）xxxxxxxxxxxx路堑边坡总体风险评估 (54) 四、隧道工程总体风险评估 (55) 技术标准 (55) 五、总体风险评估等级统计 (58) 第五章 xxxxxxxxxx专项风险评估 (60) 一、风险源辨识 (60) 二、风险分析 (62) 三、风险分类 (72) 四、重大风险源风险估测 (80) （一）深基坑施工风险估测 (80) （二）高墩施工风险估测 (82) （三）梁架设风险估测 (83) （四）人工挖孔（钻孔灌注）桩风险估测 (84) （五）现浇箱梁风险估测 (86)
安全风险评估报告
施工安全风险评估 编制人： 审核人： 批准人： 苏州市七浦塘拓浚整治工程SZQPTJL-17总监办 9月
目录 第一章评估报告编制说明........................................... 错误!未定义书签。 1、评估目的 ............................................................... 错误!未定义书签。 2、评估范围 ............................................................... 错误!未定义书签。 3、评估依据 ............................................................... 错误!未定义书签。第二章评估项目情况介绍........................................... 错误!未定义书签。 1、工程概况： ............................................................ 错误!未定义书签。 2、项目地理位置： .................................................. 错误!未定义书签。 3、项目简况：.......................................................... 错误!未定义书签。第三章评估过程和评估方法....................................... 错误!未定义书签。 1、评估过程 ............................................................... 错误!未定义书签。 2、评估方法 ............................................................... 错误!未定义书签。第四章评估内容.......................................................... 错误!未定义书签。 1、总体风险评估 ........................................................ 错误!未定义书签。 2、风险源控制 ............................................................ 错误!未定义书签。 3、风险事件的技术对策........................................... 错误!未定义书签。第五章评估结论.......................................................... 错误!未定义书签。
xxxx 无线网络安全风险评估报告 XXXX 二零一八年八月 1?目标 XXXX无线网络安全检查工作的主要目标是通过自评估工作，发现木局信息系统当前而临的主要安全问题，边检查边整改，确保信息网
络和重要信息系统的安全。 一?评估依据、围和方法 1.1评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］ 15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息［2006148号）以及集团公司和省公司公司的文件、检查方案要求，开展XX单位的信息安全评估。 1.2评估围 本次无线网络安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础无线网络信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、无线路由器、无线AP 系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。 1.3评估方法 采用自评估方法。
2.重要资产识别 对木司围的重要系统、重要网络设备、重要服务器及其安全属性 受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网 络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇 总。 3.安全事件 对本司半年发生的较大的、或者发生次数较多的信息安全事件进 行汇总记录，形成本单位的安全事件列表。 4.无线网络安全检查项目评估 1.评估标准 无线网络信息安全组织机构包括领导机构、工作机构。岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作围应有制度明确进行界定；岗位实行主、副岗备用制度。病毒管理包括计算机病毒防治管理制度、定期升级的安全策略、病毒预警和报告机制、病毒扫描策略（1周至少进行一次扫描）。 2.现状描述 本司己成立了信息安全领导机构，但尚未成立信息安全工作机构。
网络安全风险评估报告 XXXXX有限公司 20XX年X月X日
目录 一、概述 (3) 1.1工作方法 (3) 1.2评估依据 (3) 1.3评估范围 (3) 1.4评估方法 (3) 1.5基本信息 (4) 二、资产分析 (4) 2.1 信息资产识别概述 (4) 2.2 信息资产识别 (4) 三、评估说明 (5) 3.1无线网络安全检查项目评估 (5) 3.2无线网络与系统安全评估 (5) 3.3 ip管理与补丁管理 (5) 3.4防火墙 (5) 四、威胁细类分析 (6) 4.1威胁分析概述 (6) 4.2威胁分类 (7) 4.3威胁主体 (7) 五、安全加固与优化 (8) 5.1加固流程 (8) 5.2加固措施对照表 (9) 六、评估结论 (10)
一、概述 XXXXX有限公司通过自评估的方式对网络安全进行检查，发现系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 1.1工作方法 在本次网络安全风险评测中将主要采用的评测方法包括：人工评测、工具评测。 1.2评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及公司文件、检查方案要求, 开展XXXXX有限公司网络安全评估。 1.3评估范围 此次系统测评的范围主要针对该业务系统所涉及的服务器、应用、数据库、网络设备、安全设备、终端等资产。 主要涉及以下方面： ●业务系统的应用环境； ●网络及其主要基础设施，例如路由器、交换机等； ●安全保护措施和设备，例如防火墙、IDS等； ●信息安全管理体系。 1.4评估方法 采用自评估方法。 3/ 10