网络安全,风险评估方法,策略,以及欧美建立此规则的经验

等保信息安全资产评估表，内容很详细，希望对大家工作有帮助。自我国实施信息安全等保机制以来，信息安全等级保护制度在重要企业全面推广，本评估表针对信息安全等级保护要求制作，涵盖资产定义、威胁定义、脆弱性定义、风险定级等配套sheet表，可以大大缩短等保工作。为管理人员节省大量工作时间

目 录 报告声明 ...................................................................................... 错误！未定义书签。 委托方信息 .................................................................................. 错误！未定义书签。 受托方信息 .................................................................................. 错误！未定义书签。 风险评估报告单 .......................................................................... 错误！未定义书签。 1. 风险评估项目概述 ................................................................ 错误！未定义书签。 1.1. 建设项目基本信息 .......................................................... 错误！未定义书签。 1.2. 风险评估实施单位基本情况 .......................................... 错误！未定义书签。 1.3. 风险评估活动概述 .......................................................... 错误！未定义书签。 1.3.1. 风险评估工作组织过程 ............................................ 错误！未定义书签。 1.3.2. 风险评估技术路线 .................................................... 错误！未定义书签。 1.3.3. 依据的技术标准及相关法规文件 ............................ 错误！未定义书签。 2. 评估对象构成 ........................................................................ 错误！未定义书签。 2.1. 评估对象描述 .................................................................. 错误！未定义书签。 2.2. 网络拓扑结构 .................................................................. 错误！未定义书签。 2.3. 网络边界描述 .................................................................. 错误！未定义书签。 2.4. 业务应用描述 .................................................................. 错误！未定义书签。 2.5. 子系统构成及定级 .......................................................... 错误！未定义书签。 3. 资产调查 ................................................................................ 错误！未定义书签。 3.1. 资产赋值 .......................................................................... 错误！未定义书签。 3.2. 关键资产说明 .................................................................. 错误！未定义书签。 4. 威胁识别与分析 ...................................................................................................... 3 4.1. 关键资产安全需求 .....................................................................................

一、风险评估项目概述 1 1.1 工程项目概况 1 1.1.1 建设项目基本信息 1 1.1.2 建设单位基本信息 1 1.1.3承建单位基本信息 2 1.2 风险评估实施单位基本情况 2 二、风险评估活动概述 2 2.1 风险评估工作组织管理 2 2.2 风险评估工作过程 2 2.3 依据的技术标准及相关法规文件 2 2.4 保障与限制条件 3 三、评估对象 3 3.1 评估对象构成与定级 3 3.1.1 网络结构 3 3.1.2 业务应用 3 3.1.3 子系统构成及定级 3 3.2 评估对象等级保护措施 3 3.2.1 XX子系统的等级保护措施 3 3.2.2 子系统N的等级保护措施 3 四、资产识别与分析 4 4.1 资产类型与赋值 4 4.1.1资产类型 4 4.1.2资产赋值 4 4.2 关键资产说明 4 五、威胁识别与分析 4 5.1 威胁数据采集 5 5.2 威胁描述与分析 5 5.2.1 威胁源分析 5 5.2.2 威胁行为分析 5 5.2.3 威胁能量分析 5 5.3 威胁赋值 5 六、脆弱性识别与分析 5 6.1 常规脆弱性描述 5 6.1.1 管理脆弱性 5 6.1.2 网络脆弱性 5 6.1.3系统脆弱性 5 6.1.4应用脆弱性 5 6.1.5数据处理和存储脆弱性 6 6.1.6运行维护脆弱性 6 6.1.7灾备与应急响应脆弱性 6 6.1.8物理脆弱性 6 6.2脆弱性专项检测 6 6.2.1木马病毒专项检查 6 6.2.2渗透与攻击性专项测试 6 6.2.3关键设备安全性专项测试 6 6.2.4设备采购和维保服务专项检测 6 6.2.5其他专项检测 6 6.2.6安全保护效果综合验证 6 6.3 脆弱性综合列表 6 七、风险分析 6 7.1 关键资产的风险计算结果 6 7.2 关键资产的风险等级 7 7.2.1 风险等级列表 7 7.2.2 风险等级统计 7 7.2.3 基于脆弱性的风险排名 7 7.2.4 风险结果分析 7 八、综合分析与评价 7 九、整改意见 7 附件1：管理措施表 8 附件2：技术措施表 9 附件3：资产类型与赋值表 11 附件4：威胁赋值表 11 附件5：脆弱性分析赋值表 12

内容简介 吴晓平、付钰编著《信息安全风险评估教程》较系统地介绍了信息安全风险评估的基本概念、风险要素与分布、评估准则与流程、风险评估工具与基本方法，构建了信息安全风险系统综合评估模型和计算机网络空间下的风险评估模型，讨论了信息安全风险管理的原则与风险控制策略，给出了信息安全风险评估的案例和信息安全风险评估的相关标准。内容丰富、结构严谨、概念清晰、语言流畅、深入浅出、特色鲜明、启发性好，注重理论联系实际和学生应用能力培养，全书内容完整，系统性强，便于教学。 《信息安全风险评估教程》可作为高等院校信息安全、计算机科学与技术、通信与信息工程等专业高年级学生的教材，也可供信息安全科研院所、大型企事业单位与政府部门中从事信息安全管理工作者和工程技术人员学习参考。

数据是企业的核心资产，数据安全是系统安全的核心。随着云计算、大数据技术的广泛应用，加大了数据保护的难度，建立数据安全风险自动识别模型，对于数据安全保护将起到极为重要的作用。利用笛卡尔集建立一种形式化风险描述，为风险自动识别打下基础；根据数据流经的环境对风险进行过滤，确定不同环境下的数据安全风险集；为了提高风险筛选规则的适应性，利用粗糙集对安全事件进行规则学习，极大提高了风险识别的准确性，该模型为数据安全保护提供了一种新的有效手段。