信息安全风险评估检查流程数据库安全评估检查表SQL
主机安全检查- SQL Server安全检查流程
1.设备编号规则
编号规则：设备类型_客户名称_部门名称_数字编号。
设备类型（SV－服务器；PC-终端；FW－防火墙，RO-路由器，SW-交换机）；客户名称（拼音缩写）；
部门名称（拼音缩写）；
数字编号使用三位数字顺序号。
2.主机信息
3.安全检查
3.1.获取应用服务信息
3.2.补丁安装情况
3.3.帐号和口令
3.4.服务安全
3.5.文件系统
3.6.日志审核
3.7.安全增强性
学校网络与信息安全巡查表
单位: 网络与信息安全巡查表检查时间：类别检测项目检查内容检查要求检查结果 网络安全基础设施建设 网络架构安全 网络结构设计、网络划分网络结构设计、网络划分符合相关要求 是否有不经过防火墙的外联链 路（包括拨号外联） 外网与内网的连接链路（包括拨号外联）必须 经过防火墙 网络拓扑结构图提供当前网络的网络拓扑结构图 网络分区管理 生产控制大区和管理信息大区之间是否按电监 会5号令要求部署了专用隔离装置 网络使用的各种硬 件设备、软件等 各种硬件设备、软件和网络接口是 否经过安全检验、鉴定、认证。 各种硬件设备、软件和网络接口均经过安全检验、 鉴定、认证。 广域网建设情况 广域网是否按集团规定进行建 设、并按规定进行连接 广域网按集团规定进行建设、并按规定进行连 接 网络承建单位情况 网络承建单位是否具有相关资 质 网络承建单位具有相关资质（查看相关资质文 件） 网络内部数据信息 网络内部数据信息的产生、使 用、存储和维护是否安全、合理 等 网络内部数据信息的产生、使用、存储和维护 安全、合理 机房环境安全 主机房是否安装了门禁、监控与 报警系统 主机房安装了门禁、监控与报警系统 是否有详细的机房配线图有详细的机房配线图 机房供电系统是否将动力、照明 用电与计算机系统供电线路分 开 机房供电系统已将动力、照明用电与计算机系 统供电线路分开 机房是否配备应急照明装置机房有配备应急照明装置 1
类别检测项目检查内容检查要求检查结果 网络安全基础设施建设机房环境安全 是否定期对UPS的运行状况进 行检测 定期对UPS的运行状况进行检测（查看半年内 检测记录） 是否安装机房自动灭火系统，是 否配备机房专用灭火器，是否定 期对灭火装置进行检测 安装机房自动灭火系统，配备机房专用灭火器， 定期对灭火装置进行检测 是否有防雷措施，机房设备接地 电阻是否满足要求，接地线是否 牢固可靠 机房有防雷措施，机房设备接地电阻满足要求， 接地线牢固可靠（直流工作接地≤1欧，接 地地位差≤1V；交流工作交流工作接地系统 接地电阻：＜4Ω、零地电压＜1V；计算机 系统安全保护接地电阻及静电接地电阻：＜ 4Ω) 机房温度是否控制在摄氏18-25 度以内 机房温度控制在摄氏18-25度以内 安全技术防核心网络设备、系统 安全配置 交换机、路由器、防火墙等网络 设备的安全设置情况；操作系统 的安全配置、版本及补丁升级情 况 交换机、路由器、防火墙等均根据安全要求进 行了正确设置；操作系统的安全配置、版本及 补丁升级情况。 网络设备配置是否进行了备份 （电子、物理介质） 网络设备配置进行了备份（电子、物理介质） 应用安全配置、身份鉴别策略 相关服务进行正确的安全配置、身份鉴别情况WWW服务用户账户、口令是否强 健 WWW服务用户账户、口令强健（查看登录） 2
Microsoft_SQL_Server安全配置风险评估检查表
Microsoft SQL Server数据库系 统安全配置基线 目 录 第1章 概述 (2) 1.1 目的 (2) 1.2 适用范围 (2) 1.3 适用版本 (2) 第2章 口令 (3) 2.1 口令安全 (3) 2.1.1 SQLServer用户口令安全 (3) 第3章 日志 (4) 3.1 日志审计 (4) 3.1.1 SQLServer登录审计 (4) 3.1.2 SQLServer安全事件审计 (4) 第4章 其他 (6) 4.1 安全策略 (6) 4.1.1 通讯协议安全策略 (6) 4.2 更新补丁 (6) 4.2.1 补丁要求 (6)
第1章 概述 1.1 目的 本文档规定了SQL Server 数据库应当遵循的数据库安全性设置标准，本文档旨在指导系统管理人员或安全检查人员进行SQL Server 数据库的安全合规性检查和配置。 1.2 适用范围 本配置标准的使用者包括：数据库管理员、应用管理员、网络安全管理员。 1.3 适用版本 SQL Server系列数据库；
第2章 口令 2.1 口令安全 2.1.1SQLServer用户口令安全 安全基线项 数据库管理系统SQLServer用户口令安全基线要求项 目名称 安全基线SBL-SQLServer-02-01-01 安全基线项 对用户的属性进行安全检查，包括空密码、密码更新时间等。修改目前所有说明 账号的口令，确认为强口令。特别是sa 账号，需要设置至少10位的强口令。 检测操作步 1.检查password字段是否为null。 骤 2.参考配置操作 查看用户状态 运行查询分析器，执行 select * from sysusers Select name,Password from syslogins where password is null order by name # 查 看口令为空的用户 password字段不为null。 基线符合性 判定依据 备注
信息安全系统风险管理系统程序
1目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平，特制定本程序。 2范围 本程序适用信息安全管理体系(ISMS)范围内信息安全风险评估活动的管理。 3职责 3.1研发中心 负责牵头成立信息安全管理委员会。 3.2信息安全管理委员会 负责编制《信息安全风险评估计划》，确认评估结果，形成《风险评估报告》及《风险处理计划》。 3.3各部门 负责本部门使用或管理的资产的识别和风险评估，并负责本部门所涉及的资产的具体安全控制工作。 4相关文件 《信息安全管理手册》 《GB-T20984-2007信息安全风险评估规范》 《信息技术安全技术信息技术安全管理指南第3部分：IT安全管理技术》 5程序 5.1风险评估前准备 ①研发中心牵头成立信息安全管理委员会，委员会成员应包含信息安全重要责任部门的成员。 ②信息安全管理委员会制定《信息安全风险评估计划》，下发各部门。 ③风险评估方法-定性综合风险评估方法 本项目采用的是定性的风险评估方法。定性风险评估并不强求对构成风险的各个要素（特别是资产）进行精确的量化评价，它有赖于评估者的经验判断、业界惯例以及组织自身定义的标准，来对风险要素进行相对的等级分化，最终得出的风险大小，只需要通过等级差别来分出风险处理的优先顺序即可。 综合评估是先识别资产并对资产进行赋值评估，得出重要资产，然后对重要资产进行详细的风险评估。
5.2资产赋值 ①各部门信息安全管理委员会成员对本部门资产进行识别，并进行资产赋值。 资产价值计算方法：资产价值= 保密性赋值＋完整性赋值＋可用性赋值 ②资产赋值的过程是对资产在信息分类、机密性、完整性、可用性进行分析评估，并在此基础上 得出综合结果的过程。 ③确定信息类别 信息分类按“5.9 资产识别参考（资产类别）”进行，信息分类不适用时，可不填写。 ④机密性(C)赋值 根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的应达成的不同程度或者机密性缺失时对整个组织的影响。 ⑤完整性(I)赋值 根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。 ⑥可用性(A)赋值 根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
最新安全检查表格式大汇总
安全状况调查表 —徐刚 1. 安全管理机构 安全组织体系是否健全，管理职责是否明确，安全管理机构岗位设置、人员配备是否充分合理。 序号检查项结果备注 1. 信息安全管理机构 设置□ 以下发公文方式正式设置了信息安全管理工作的专门职能机构。 □ 设立了信息安全管理工作的职能机构，但还不是专门的职能机构。 □ 其它。 2. 信息安全管理职责 分工情况□ 信息安全管理的各个方面职责有正式的书面分工，并明确具体的责任人。 □ 有明确的职责分工，但责任人不明确。 □ 其它。 3. 人员配备□ 配备一定数量的系统管理人员、网络管理人 员、安全管理人员等; 安全管理人员不能兼任网 络管理员、系统管理员、数据库管理员等。 □ 配备一定数量的系统管理人员、网络管理人 员、安全管理人员等，但安全管理人员兼任网络 管理员、系统管理员、数据库管理员等。 □ 其它。 4. 关键安全管理活动 的授权和审批□ 定义关键安全管理活动的列表，并有正式成文的审批程序，审批活动有完整的记录。 □ 有正式成文的审批程序，但审批活动没有完整的记录。 □ 其它。 5. 与外部组织沟通合 作□ 与外部组织建立沟通合作机制，并形成正式文件和程序。 □ 与外部组织仅进行了沟通合作的口头承诺。□ 其它。 6. 与组织机构内部沟 通合作□ 各部门之间建立沟通合作机制，并形成正式文件和程序。 □ 各部门之间的沟通合作基于惯例，未形成正式文件和程序。 □ 其它。
2. 安全管理制度 安全策略及管理规章制度的完善性、可行性和科学性的有关规章制度的制定、发布、修订及执行情况。 检查项结果备注 1 信息安全策略□ 明确信息安全策略，包括总体目标、范围、原则和 安全框架等内容。 □ 包括相关文件，但内容覆盖不全面。 □ 其它 2 安全管理制度□ 安全管理制度覆盖物理、网络、主机系统、数据、 应用、建设和管理等层面的重要管理内容。 □ 有安全管理制度，但不全而面。 □ 其它。 3 操作规程□ 应对安全管理人员或操作人员执行的重要管理操作 建立操作规程。 □ 有操作规程，但不全面。 □ 其它。 4 安全管理制度 的论证和审定□ 组织相关人员进行正式的论证和审定，具备论证或审定结论。 □ 其它。 5 安全管理制度 的发布□ 文件发布具备明确的流程、方式和对象范围。□ 部分文件的发布不明确。 □ 其它。 6 安全管理制度 的维护□ 有正式的文件进行授权专门的部门或人员负责安全管理制度的制定、保存、销毁、版本控制，并定期评审与修订。 □ 安全管理制度分散管理，缺乏定期修订。 □ 其它。 7 执行情况□ 所有操作规程的执行都具备详细的记录文档。 □部分操作规程的执行都具备详细的记录文档。 □ 其它。 3. 人员安全管理 人员的安全和保密意识教育、安全技能培训情况，重点、敏感岗
Web应用安全风险评估检查表
Web应用安全配置基线 目 录 第1章 概述 (3) 1.1 目的 (3) 1.2 适用范围 (3) 1.3 适用版本 (3) 第2章 身份与访问控制 (4) 2.1 账户锁定策略 (4) 2.2 登录用图片验证码 (4) 2.3 口令传输 (4) 2.4 保存登录功能 (5) 2.5 纵向访问控制 (5) 2.6 横向访问控制 (5) 2.7 敏感资源的访问 (6) 第3章 会话管理 (7) 3.1 会话超时 (7) 3.2 会话终止 (7) 3.3 会话标识 (7) 3.4 会话标识复用 (8) 第4章 代码质量 (9) 4.1 防范跨站脚本攻击 (9) 4.2 防范SQL注入攻击 (9) 4.3 防止路径遍历攻击 (9) 4.4 防止命令注入攻击 (10) 4.5 防止其他常见的注入攻击 (10) 4.6 防止下载敏感资源文件 (11) 4.7 防止上传后门脚本 (11) 4.8 保证多线程安全 (11) 4.9 保证释放资源 (12) 第5章 内容管理 (13) 5.1 加密存储敏感信息 (13) 5.2 避免泄露敏感技术细节 (13) 第6章 防钓鱼与防垃圾邮件 (14) 6.1 防钓鱼 (14)
6.2 防垃圾邮件 (14) 第7章 密码算法 (15) 7.1 安全算法 (15) 7.2 密钥管理 (15)
第1章 概述 1.1 目的 本文档规定了Web应用服务器应当遵循的安全标准，本文档旨在指导系统管理人员进行Web应用安全基线检查。 1.2 适用范围 本配置标准的使用者包括：服务器系统管理员、应用程序管理员、网络安全管理员。 1.3 适用版本 基于B/S架构的Web应用
信息安全检查表
广西食品药品检验所 信息安全检查表一、信息系统基本情况 信息系统基本情况①信息系统总数：个 ②面向社会公众提供服务的信息系统数：个 ③委托社会第三方进行日常运维管理的信息系统数：个，其中签订运维外包服务合同的信息系统数：个 互联网接入情况互联网接入口总数：个 其中：□联通接入口数量：个接入带宽：兆□电信接入口数量：个接入带宽：兆 □其他：接入口数量：个 接入带宽：兆 系统定级情况第一级：个第二级：个第三级：个第四级：个第五级：个未定级：个 系统安全 测评情况 最近2年开展安全测评（含风险评估、等级测评）系统数：个二、日常信息安全管理情况 人员管理①岗位信息安全和保密责任制度：□已建立□未建立 ②重要岗位人员信息安全和保密协议： □全部签订□部分签订□均未签订 ③人员离岗离职安全管理规定：□已制定□未制定 ④外部人员访问机房等重要区域管理制度：□已建立□未建立 资产管理①信息安全设备运维管理： □已明确专人负责□未明确 □定期进行配置检查、日志审计等□未进行 ②设备维修维护和报废销毁管理： □已建立管理制度，且维修维护和报废销毁记录完整□已建立管理制度，但维修维护和报废销毁记录不完整□尚未建立管理制度 三、信息安全防护管理情况
网络边界防护管理①网络区域划分是否合理：□合理□不合理 ②安全防护设备策略：□使用默认配置□根据应用自主配置 ③互联网访问控制：□有访问控制措施□无访问控制措施 ④互联网访问日志：□留存日志□未留存日志 信息系统安全管理①服务器安全防护： □已关闭不必要的应用、服务、端口□未关闭 □帐户口令满足8位，包含数字、字母或符号□不满足 □定期更新帐户口令□未能定期更新□定期进行漏洞扫描、病毒木马检测□未进行 ②网络设备防护： □安全策略配置有效□无效 □帐户口令满足8位，包含数字、字母或符号□不满足 □定期更新帐户口令□未能定期更新□定期进行漏洞扫描、病毒木马检测□未进行 ③信息安全设备部署及使用： □已部署有防病毒、防火墙、入侵检测、安全审计等功能的设备□未部署□安全策略配置有效□无效 门户网站应用管理门 户 网 站 管 理 网站域名：_______________ IP地址：_____________ 是否申请中文域名：□是_______________ □否 ①网站是否备案：□是□否 ②门户网站账户安全管理： □已清理无关帐户□未清理 □无：空口令、弱口令和默认口令□有 ③清理网站临时文件、关闭网站目录遍历功能等情况： 口已清理口未清理 ④门户网站信息发布管理： □已建立审核制度，且审核记录完整 □已建立审核制度，但审核记录不完整 □尚未建立审核制度
信息安全管理制度附件：信息安全风险评估管理程序
本程序，作为《WX-WI-IT-001 信息安全管理流程A0版》的附件，随制度发行，并同步生效。 信息安全风险评估管理程序 1.0目的 在ISMS 覆盖范围内对信息安全现行状况进行系统风险评估，形成评估报告，描述风险等级，识别和评价供处理风险的可选措施，选择控制目标和控制措施处理风险。 2.0适用范围 在ISMS 覆盖范围内主要信息资产 3.0定义（无） 4.0职责 4.1各部门负责部门内部资产的识别，确定资产价值。 4.2IT部负责风险评估和制订控制措施。 4.3财务中心副部负责信息系统运行的批准。 5.0流程图 同信息安全管理程序的流程 6.0内容 6.1资产的识别 6.1.1各部门每年按照管理者代表的要求负责部门内部资产的识别，确定资产价值。 6.1.2资产分类 根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员 等类。 6.1.3资产（A）赋值 资产赋值就是对资产在机密性、完整性和可用性上的达成程度进行分析，选 择对资产机密性、完整性和可用性最为重要（分值最高）的一个属性的赋值 等级作为资产的最终赋值结果。资产等级划分为五级，分别代表资产重要性
的高低。等级数值越大，资产价值越高。 1）机密性赋值 根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产 2）完整性赋值 根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产 3）可用性赋值 根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
3分以上为重要资产，重要信息资产由IT 部确立清单 6.2威胁识别 6.2.1威胁分类 对重要资产应由ISMS 小组识别其面临的威胁。针对威胁来源，根据其表现形式将威胁分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、黑客攻击技术、物理攻击、泄密、篡改和抵赖等。 6.2.2威胁(T)赋值 评估者应根据经验和（或）有关的统计数据来判断威胁出现的频率。 威胁频率等级划分为五级，分别代表威胁出现的频率的高低。等级数值越大，威胁出现
网络信息安全检查表
网络与信息安全检查项目表 类别检查项目检查内容检查要求 明确信息安全主管领导、责任人、信息安全管理员，制定岗位职责文件和 组织管理与规 章制度网络与信息安 全管理组织 日常管理工作 规章制度情况 信息安全责任制落实情况 信息安全培训情况 信息安全管理策略情况 信息安全测评、系统安全定级、信息安全检 查和风险评估工作 网络与信息安全政策落实情况 信息安全管理职责、信息安全情况报告制 度、资产安全管理制度、系统运行安全管理 制度、安全应急响应及事故管理制度等 操作规程等（要提供相应文档） 信息安全责任人、管理员定期参加有关单位的信息安全培训。对本单位全 体人员进行了信息安全培训（提供培训计划、培训内容、培训成绩、人员） 制定了详细的信息安全管理策略，并有专人负责，定期进行检查（要提供 检查纪录） 有工作开展的相关文档、记录、总结 国家有关网络与信息安全文件（计算机信息网络国际联网安全保护管理办 法等）的落实情况 制定了严格的规章制度，并认真落实（提供所有制度文档）。 保密承诺书重要岗位、涉密岗位人员保密承诺书是否签订，是否及时更新，新入岗、离岗人员均要签订保密承诺。 网络运行及关 键安全设备情 况网络基本情况 网络使用情况网络设计使用符合相关规定要求。 网络与信息系统集成、设计与监理情况集成商、设计单位、监理单位必须具备相关资质（要有资质证书复印件）
网络与信息安全产品防火墙、入侵检测、安全审计、漏洞扫描、 违规外联监控、网页防篡改、网络安全隔离 网闸、病毒防范等安全产品以及密码设备 必须采用通过国家保密局涉密信息系统安全保密测评机构、国家及省级信 息安全测评机构测评的测评资质证书，公安部销售许可证；密码产品及研发、 生产、销售企业必须具有国家密码管理局的许可资质（各类资质要有资质证 书复印件）
信息安全风险评估项目流程
信息安全风险评估项目流程 一、售前方案阶段 1.1、工作说明 技术部配合项目销售经理（以下简称销售）根据客户需求制定项目解决方案，客户认可后，销售与客户签订合同协议，同时向技术部派发项目工单（项目实施使用） 1.2、输出文档 《XXX项目XXX解决方案》 输出文档（电子版、纸质版）交付销售助理保管，电子版抄送技术部助理。 1.3、注意事项 ?销售需派发内部工单（售前技术支持） ?输出文档均一式三份（下同） 二、派发项目工单 2.1、工作说明 销售谈下项目后向技术部派发项目工单，技术部成立项目小
组，指定项目实施经理和实施人员。 三、项目启动会议 3.1、工作说明 ?销售和项目经理与甲方召开项目启动会议，确定各自接口负 责人。 ?要求甲方按合同范围提供《资产表》，确定扫描评估范围、 人工评估范围和渗透测试范围。 ?请甲方给所有资产赋值（双方确认资产赋值） ?请甲方指定安全评估调查（访谈）人员 3.2、输出文档 《XXX项目启动会议记要》 客户提交《信息资产表》、《网络拓扑图》，由项目小组暂时保管，以供项目实施使用 3.3、注意事项 ?资产数量正负不超过15%；给资产编排序号，以方便事后 检查。 ?给人工评估资产做标记，以方便事后检查。 ?资产值是评估报告的重要数据。
?销售跟客户沟通，为项目小组提供信息资产表及拓扑图，以 便项目小组分析制定项目计划使用。 四、项目前期准备 4.1、工作说明 ?准备项目实施PPT，人工评估原始文档（对象评估文档）， 扫描工具、渗透测试工具、保密协议和授权书 ?项目小组与销售根据项目内容和范围制定项目实施计划。 4.2、输出文档 《XXX项目实施PPT》 《XXX项目人工访谈原始文档》 《XXX项目保密协议》 《XXX项目XXX授权书》 4.3、注意事项 ?如无资产表和拓扑图需到现场调查后再制定项目实施计划和 工作进度安排。 ?项目实施小组与客户约定进场时间。 ?保密协议和授权书均需双方负责人签字并加盖公章。 ?保密协议需项目双方参与人员签字
学校网络与信息安全检查表
单位：长春市第一五七中学网络与信息安全检查表检查时间：2017.10 类别检测项目检查内容检查要求检查记录检查结果 网络安全基础设施建设 网络架构安全 网络结构设计、网络划分网络结构设计、网络划分符合相关要求 是否有不经过防火墙的外联链 路（包括拨号外联） 外网与内网的连接链路（包括拨号外联）必须 经过防火墙 网络拓扑结构图提供当前网络的网络拓扑结构图 网络分区管理 生产控制大区和管理信息大区之间是否按电监 会5号令要求部署了专用隔离装置 网络使用的各种硬 件设备、软件等 各种硬件设备、软件和网络接口是 否经过安全检验、鉴定、认证。 各种硬件设备、软件和网络接口均经过安全检验、 鉴定、认证。 广域网建设情况 广域网是否按集团规定进行建 设、并按规定进行连接 广域网按集团规定进行建设、并按规定进行连 接 网络承建单位情况 网络承建单位是否具有相关资 质 网络承建单位具有相关资质（查看相关资质文 件） 网络内部数据信息 网络内部数据信息的产生、使 用、存储和维护是否安全、合理 等 网络内部数据信息的产生、使用、存储和维护 安全、合理 机房环境安全 机房环境安全 主机房是否安装了门禁、监控与 报警系统 主机房安装了门禁、监控与报警系统 是否有详细的机房配线图有详细的机房配线图 机房供电系统是否将动力、照明 用电与计算机系统供电线路分 开 机房供电系统已将动力、照明用电与计算机系 统供电线路分开 机房是否配备应急照明装置机房有配备应急照明装置 是否定期对UPS的运行状况进 行检测 定期对UPS的运行状况进行检测（查看半年内 检测记录） 是否安装机房自动灭火系统，是安装机房自动灭火系统，配备机房专用灭火器，
XXX系统安全风险评估调查表完整
XX系统安全风险评估调查表 系统名称： 申请单位： 申请日期：
填写说明 1.申请表一律要求用计算机填写，内容应真实、具体、准确。 2.如填写内容较多，可另加附页或以附件形势提供。 3.申报资料份数为纸版和电子版各一份。
目录 填写说明................................................................................................ I I 目录............................................................................................................... I 一、申请单位信息 (2) 二、系统评估委托书 .....................................................错误！未定义书签。 三、信息系统基本情况调查表 (4) 四、信息系统的最新网络拓扑图 (6) 五、根据信息系统的网络结构图填写各类调查表格。 (7) 表3-1. 第三方服务单位基本情况 (9) 表3-2. 项目参与人员名单 (10) 表3-3. 信息系统承载业务（服务）情况调查 (11) 表3-4. 信息系统网络结构（环境）情况调查 (12) 表3-5. 外联线路及设备端口（网络边界）情况调查 (13) 表3-6. 网络设备情况调查 (14) 表3-7. 安全设备情况调查 (15) 表3-8. 服务器设备情况调查 (16) 表3-9. 终端设备情况调查 (17) 表3-10. 系统软件情况调查 (18) 表3-11. 应用系统软件情况调查 (19) 表3-12. 业务数据情况调查 (20) 表3-13. 数据备份情况调查 (21) 表3-14. 应用系统软件处理流程调查（多表） (22) 表3-15. 业务数据流程调查（多表） (23) 表3-16. 管理文档情况调查 (24) 六、信息系统安全管理情况 (25) 七、信息系统安全技术方案 (25)
网络与信息安全检查表
网络与信息安全检查表 单位名称：嘉兴市妇幼保健院 一、信息安全组织机构基本情况 信息安全责任部门信息科 分管信息安全工作的领导（如单位正副职领导）①姓名：王立中；职务：副院长； ②姓名：；职务：； 信息安全管理机构（如信息中心）①名称：信息科； ②负责人：沈碧飞；职务：科长； ③联系人：龚林峰；电话：； 信息安全专职工作处室（如信息科）①名称：； ②联系人：；电话：； 信息安全责任部门职责 (可附件另附) 二、重要信息系统基本情况 重要信息系统总数：（请另附系统简介清单） 系统定级情况第一级：个第二级：个第三级：个第四级：个第五级：个未定级：个 等级保护测评完成等级保护测评系统的名称及对应等级：①； ②； ③； ④； 服务对象统计①面向社会公众提供服务的系统数量及等级：； ②非面向社会公众提供服务的系统数量及等级：； 联网情况统计①通过互联网可直接访问的系统数量及等级：； ②通过互联网不能直接访问的系统数量及等级：；其中，与互联网物理隔离的系统数量及等级：；
数据集中性统计①省级数据集中的系统数量及数据类型：； ②市级数据集中的系统数量及数据类型：； ③县级数据集中的系统数量及数据类型：； ④未进行数据集中的系统数量：； 业务连续性统计①可容忍值小于小时的系统数量：； ②可容忍值大于小时，小于小时的系统数量：； ③可容忍值大于小时的系统数量：； 系统灾备统计①定期对系统级进行灾备的系统数量：； ②仅对数据库定期进行灾备的系统数量：； ③无灾备措施的系统数量：； 业务应用软件系统（统计年内数据）①自主设计开发（不含二次开发）的套数：； ②外包国内服务商开发的套数：； 外包国外服务商开发的套数：； ③直接采购国内服务商产品的套数：； 直接采购国外服务商产品的套数：； 三、日常信息安全运维管理情况 人员安全管理①重点岗位人员安全保密协议：全部签订部分签订均未签订； ②人员离岗离职安全管理规定：已制定未制定； ③外部人员机房访问管理制度及权限审批制度：已建立未建 立； 设备资产管理①资产管理制度：已建立未建立； ②机房设备标签：全部标签合格部分标签合格无标签； ③设备维修维护和报废管理： 已建立管理制度，且维修维护和报废记录完整； 已建立管理制度，但维修维护和报废记录不完整； 未建立管理制度； 机房安全管理①机房管理制度：已建立未建立； ②机房日常运维记录：完整详实部分简略无记录； ③人员进出机房记录：完整详实部分简略无记录； ④机房物理环境：达标未达标； 采购预算保障①年度采购方案及预算：已建立未建立； ②采购合同：完整部分完整； ③安全设备采购比例：> > <； 外包服务管理①外包服务商资质证书：齐全部分齐全； ②外包服务合同：完整部分完整；
信息安全风险评估项目流程-
信息安全风险评估项目流程 一、项目启动会议 1.1、工作说明 ?项目经理与甲方召开项目启动会议，确定各自接口负责人。 ?要求甲方按合同范围提供《资产表》，确定扫描评估范围、人 工评估范围和渗透测试范围。 ?请甲方给所有资产赋值（双方确认资产赋值） ?请甲方指定安全评估调查（访谈）人员 1.2、输出文档 《项目启动会议记要》 客户提交《信息资产表》、《网络拓扑图》，由项目小组暂时保管，以供项目实施使用 1.3、注意事项 ?资产数量正负不超过15%；给资产编排序号，以方便事后检 查。 ?给人工评估资产做标记，以方便事后检查。 ?资产值是评估报告的重要数据。 ?销售跟客户沟通，为项目小组提供信息资产表及拓扑图，以
便项目小组分析制定项目计划使用。 二、项目前期准备 2.1、工作说明 ?准备人工评估原始文档（调查表），扫描工具、渗透测试工具、 保密协议和授权书 ?项目小组根据项目内容和范围制定项目实施计划。 2.2、输出文档 《信息安全风险评估调查表》 《项目保密协议》 《漏洞扫描、渗透测试授权书》 2.3、注意事项 ?如无资产表和拓扑图需到现场调查后再制定项目实施计划和 工作进度安排。 ?项目实施小组与客户约定进场时间。 ?保密协议和授权书均需双方负责人签字并加盖公章。 ?保密协议需项目双方参与人员签字
三、驻场实施会议 3.1、工作说明 项目小组进场与甲方召开项目实施会议，确定评估对象和范围（主机、设备、应用、管理等）、实施周期（工作进度安排），双方各自提出自身要求，项目小组要求甲方提供办公场地、打印机、接入网络等项目必备环境。与甲方签订评估保密协议、授权书（漏洞扫描、人工评估、渗透测试等）。实施过程中需甲方人员陪同。 3.2、输出文档 无 3.3、注意事项 如前期未准备资产表与拓扑图，在此阶段项目小组进行调查（视情况是否另收费）。 四、现场实施阶段 4.1、工作说明 ?按照工作计划和被评估对象安排实施进度。 ?主要工作内容 漏洞扫描（主机、应用、数据库等）
数据库服务器安全配置检查表
数据库服务器安全配置检查表 更新日期：2004年04月12日 本页内容 如何使用本检查表 产品服务器的安装注意事项 修补程序和更新程序 服务 协议 帐户 文件和目录 共享 端口 注册表 审核与日志记录 SQL Server 安全性 SQL Server 登录、用户和角色 SQL Server 数据库对象 其他注意事项 保持安全 如何使用本检查表 本检查表随模块18 保证数据库服务器的安全一起提供。本检查表可帮助您保护数据库服务器，并可用作相应模块的快照。返回页首 产品服务器的安装注意事项
返回页首 修补程序和更新程序 返回页首 服务
协议 在 在数据库服务器上强化 返回页首 帐户 使用具有最少权限的本地帐户运行 从 禁用 重命名 强制执行强密码策略。 限制远程登录。 限制使用空会话（匿名登录）。 帐户委派必须经过审批。 不使用共享帐户。 限制使用本地
文件和目录 返回页首 共享 从服务器中删除所有不必要的共享。 限制对必需的共享的访问（ 如果不需要管理性共享（ Operations Manager (MOM) 返回页首 端口
和 配置在同一端口侦听命名实例。 如果端口 将防火墙配置为支持 在服务器网络实用工具中，选中 返回页首 注册表 返回页首 审核与日志记录 记录所有失败的 记录文件系统中的所有失败的操作。 启用 将日志文件从默认位置移走，并使用访问控制列表加以保护。 将日志文件配置为适当大小，具体取决于应用程序的安全需要。
返回页首 SQL Server 安全性 返回页首 SQL Server 登录、用户和角色 返回页首
信息安全检查表
附件2 信息安全检查表 单位名称 联系人/联系电话 信息安全主管领导 职 务 网 站 名 称 检 查 项 目 检 查 结 果 是否有制作机密信息的管理列表？ ○是 ○否 是否与委托对象签订保密合同？ ○是 ○否 信息安全场合是否设置了摄像头等？ ○是 ○否 员工和外来人员是否进行区别？ ○是 ○否 机密信息是否上锁被保管于文件柜中？ ○是 ○否 工作中是否使用私人电脑？ ○是 ○否 对于带出的业务上必要的电子媒体和电脑是否对 机密信息实施加密？ ○是 ○否 对于私密信息的相关资料，废弃是否用碎纸机粉碎 或物理性破坏（硬盘）？ ○是 ○否 是否有两个或两个以上的人共用使用一个ID? ○是 ○否 是否有网页防篡改措施 ○安装了防篡改系统 ○人工监看 ○无措施 是否具有边界保护措施 ○是 ○否 是否有抗拒服务器攻击措施 ○是 ○否 是否安装了入侵检测系统 ○是 ○否 是否安装了防病毒系统 ○是 ○否 网站主机服务器运行维护管理方式 ○自行管理 ○委托管理 是否进行了下列安全检查 ○SQL注入攻击隐患 ○跨站脚本攻击隐患 ○弱口令 ○操作系统补丁安装情况 ○网站服务系统及其他应用系统补丁安装情况○防病毒软件升级情况 ○网站是否已被“挂马”○入侵检测系统升级情况 ○漏洞扫描系统升级情况 ○执行漏洞扫描情况 防病毒系统最近一次升级的日期 年 月 日 1
是否保留了系统安全日志 ○是 ○否 系统安全日志察看的周期是多少 ○每天 ○每周 ○每月 ○偶尔或从不 服务器设置是否在可确保安全的合适场所？ ○是 ○否 网站服务器和同一网段内其他服务器之间是否有 访问控制措施 ○是 ○否 操作系统最近一次升级的日期 月 日 Web服务器最近一次升级的日期 月 日 数据库系统最近一次升级的日期 月 日 是否关闭或删除了不必要的帐户 ○是 ○否 是否关闭或删除了不必要的应用 ○是 ○否 是否关闭或删除了不必要的服务 ○是 ○否 是否关闭或删除了不必要的端口 ○是 ○否 系统管理和数据库管理口令更换周期是多少 ○每周或更短 ○半个月 ○一个月 ○一个月以上 ○从未更换或偶尔更换 系统管理和数据库管理口令长度是多少位 ○小于等于8位 ○大于8位 对网站进行远程维护时，是否采取了加密防护措施○是 ○否 是否对自管的域名解析系统采取了安全防护措施 ○是 ○否 ○无自管域名解析系统 是否与托管方签订了安全协议 ○是 ○否 ○未采取托管 是否根据应急预案组织过应急演练 ○是 ○否 是否采取了备份措施？ ○备机 ○备件 ○网站数据备份 ○其他措施 是否对员工进行了信息安全的教育和培训？ ○是 ○否 所有员工是否签订保密协议？ ○是 ○否 是否有组织地定期实施自主检查？ ○是 ○否 2
美国信息安全风险评估工作流程详述
美国信息安全风险评估工作流程详述 通过参考NIST SP800系列标准关于信息安全风险评估的阐述，以下列举了美国政府在实施风险评估和风险控制时的一般流程，具有普遍性，但并不意味着这是固定不变的方法。 步骤1：描述体系特征 在对信息系统的风险进行评估中，第一步是定义工作范围。在该步中，要确定信息系统的边界以及组成系统的资源和信息。对信息系统的特征进行描述后便确立了风险评估工作的范围，刻画了对系统的进行授权运行（或认可）的边界，并为风险定义提供了必要的信息（如硬件、软件、系统连通性、负责部门或支持人员）。 本附录所描述的方法学可运用于对单个或多个相关联系统的评估。在评估多个关联系统时，要在运用这些方法学之前就定义好所关心的域、全部接口及依赖关系。 步骤1.1 系统相关信息 识别信息系统风险时，要求对系统的运行环境有着非常深入的理解。因此从事风险评估的人员必须首先收集系统相关信息，通常这些信息分为如下几类： 硬件 软件 系统接口（如内部和外部连接） 数据和信息 信息系统的支持和使用人员 系统使命（例如信息系统实施的处理过程） 系统和数据的关键性（例如系统对于单位的价值或重要性） 系统和数据的敏感性 与信息系统及其数据的运行环境相关的其它信息还包括——但不限于——以下信息： 信息系统的功能需求 系统的用户（例如为信息系统提供技术支持的系统用户，使用信息系统完成业务功能的应用用户等）
信息系统的系统安全策略（机构策略、政府要求、法律、行业惯例等） 系统安全体系结构 当前的网络拓扑（例如网络图示） 信息系统中的信息流（例如系统接口、系统输入和输出的流程图） 信息系统的安全措施 信息系统的物理安全环境（例如设施安全、数据中心策略等） 针对信息系统处理环境而实现的环境安全（例如对湿度、水、电、污染、温度和化学物品的控制） 对于处在启动或规划阶段的系统，系统信息可以从设计或需求文档中获得。对于处于开发阶段的系统，有必要为未来的信息系统定义关键的安全规则和属性。系统设计文档和系统安全计划可以为开发阶段的信息系统提供有用的安全信息。 对于运行中的信息系统，要从其运行环境中收集信息系统的数据，包括系统配置、连接、流程方面的数据。 步骤1.2 信息收集技术 可以使用下列一项或多项技术在其运行边界内获取相关的系统信息： 调查问卷：要收集相关信息，风险评估人员可以设计一套关于信息系统中的安全措施的调查问卷。可将这套调查问卷发给信息系统的管理和使用人员。 调查问卷也可以在现场参观和面谈时使用。 现场面谈：和信息系统的管理或使用人员面谈有助于风险评估人员收集有用的系统信息（例如系统是如何运行和管理的）。现场参观也能让风险评估人员观察并收集到信息系统在物理、环境和运行方面的信息。 文档审查：政策文档（例如法律文档、规章等）、系统文档（例如系统用户指南、系统管理员手册、系统设计和需求文档等）、安全相关的文档（例如以前的审计报告、风险评估报告、系统测试结果、系统安全计划、安全策略等）可以提供关于信息系统的安全措施方面的有用信息。对机构使命的影响进行分析或评估资产的关键性后，可以得到系统和数据的关键性和敏感性方面的信息。 使用自动扫描工具：一些主动的技术方法可以用来有效地收集系统信息。例如，网络映射工具可以识别出运行在一大群主机上的服务，并提供一个快速的方法来为目标信息系统建立轮廓。
ISO27001信息安全风险评估程序
ISO27001信息安全风险评估程序 1.目的 本文件为公司执行信息安全风险评估提供指导和规范。 本程序的运行结果产生《风险评估报告-（加注日期）》。 公司依据风险评估报告编制风险处理计划。 2.适用范围 本程序适用风险评估所涉及的所有部门。 风险评估工作组成员据此执行风险评估活动。 其他相应员工据此理解风险评估的过程，完成自己职责范围内风险评估相关工作。 3.风险评估的实施频率及评审 公司规定风险评估活动要定期进行，常规的风险评估每年执行一次，执行风险评估前应对本程序进行评审。 遇到以下情况，公司也将启动风险评估： 增加了大量新的信息资产； 业务环境发生了重大的变化； 发生了重大信息安全事件。 4.风险评估方法 根据GB/T22080-2008/ISO/IEC27001:2005和ISO/IEC TR 13335-3，公司采用“详细风险分析方法（Detailed Risk Approach）”来实施风险评估，该方法主要包括： 风险分析：识别资产、威胁、脆弱性、影响和可能性 风险评价：风险＝影响×可能性 5.风险评估流程 公司风险评估流程如下图所示：
5.1.确定风险评估范围 在执行风险评估前，由信息安全领导小组负责，确定本次风险评估的范围，并明确传达给风险评估工作组。 5.2.建立风险评估工作组 在执行风险评估前，由信息安全领导小组负责，建立风险评估工作组，并明确工作组成员职责。 5.3.识别风险
5.3.2.识别威胁及威胁可利用的脆弱性（依下表）。 5.4.分析和评价风险 5.4.1.分析和评价风险发生后对公司的影响（依下表）。 风险发生后对公司影响的赋值准则 5.4.2.分析和评价风险发生的可能性（依下表）。
数据库安全评估检查表_sql_server
主机安全检查-SQL Server 安全检查流程
1. 设备编号规则 编号规则：设备类型_客户名称_部门名称—数字编号。 设备类型（S—服务器；PC鉴端；FV W防火墙，R0路由器，SW交换机）; 客户名称（拼音缩写）； 部门名称（拼音缩写）； 数字编号使用三位数字顺序号。 2. 主机信息
3. 安全检查 3.1.获取应用服务信息 编号：SQL-01003 名称：获取服务监听端口和地址 说明： 获取SQL Server所监听端口和地址 检查方法： 开始菜单-> 程序->Microsoft SQL Server-〉企业管理器-> 控制台目录-> Microsoft SQLServers->SQL Server 组，在要查看的服务器上右键查看“属性”
-> “常规” ->网络配置，选中“启用协议”中相关协议，察看“属性” 检查风险（对系统 的影响，请具体描述）： 无 检查结果： 适用版本: All 备注： 编号： SQL-01006 名称： 获取数据库维护人员信息 说明: 获取与SQL Server 所有数据库维护人员以及主机维护人员名单 检查方法： 询问相关人员： 每个数据库的管理员是谁？ 系统管理员是谁？ 「检查风险（对系统的影响，请具体描述）： 无 检查结果： 适用版本： All 「备注： 编号： SQL-01007 |名称： 获取数据库备份方式 说明： 获取与SQL Server 数据库备份方式 编号： SQL-01007 名称： 获取数据库备份方式 |说明：
检查方法： 询问相关人员： 谁在什么时候用什么方法把哪些数据备份到什么地方? 谁在什么情况下决定用什么方法把哪些地方如何恢复? 检查风险（对系统的影响，请具体描述）：无 检查结果： 适用版本: All 备注： 32 补丁安装情况 33 帐号和口令 编号：SQL-03001 名称：获取SQL Server系统中账号 说明： 获取当前SQL Server系统中所有用户信息 检查方法： 开始菜单->程序-'Microsoft SQL Server->SQL 查询分析器，登录后在查询中输入：use master Select n ame,password from syslog ins order by n ame 检查风险（对系统的影响，请具体描述）: 无 检查结果：适用版本:
济南市信息安全风险评估工作的指南
市信息安全风险评估工作指南市信息化领导小组办公室 市信息产业局 2007年6月 前言
随着我市国民经济和社会信息化进程的加快，网络与信息系统的基础性、全局性作用日益增强，国民经济和社会发展对网络和信息系统的依赖性也越来越大。网络和信息系统自身存在的缺陷、脆弱性以及面临的威胁，使信息系统的运行客观上存在着潜在风险。信息安全已经成为影响信息化发展的重大问题，引起了国家政府和社会的广泛关注和重视。 《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号文件）提出“要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估，综合考虑网络与信息系统的重要性、涉密程度和面临的信息安全风险等因素，进行相应等级的安全建设和管理。”中央领导同志也多次就信息安全风险评估工作做出重要指示。 信息系统信息安全风险评估是为了了解系统究竟面临什么风险、有多大风险，以及应该采取什么样的措施去减少、化解或规避风险，是为了解决这样一些问题：什么地方、什么时间可能出问题？会出什么问题？出问题的可能性有多大？这些问题可能产生的后果是什么？应该采取什么样的措施加以避免和弥补？它是认识和评价信息系统信息安全状况的基本方法和手段，是信息安全的基础性工作。 市信息化办公室、市信息产业局结合市信息安全风险评估试点工作过程中的实践经验，总结形成了一套信息安全风险评估流程，以此为基础编写了《市信息安全风险评估工作指南》（以下简称“工作指南”）。本工作指南对信息安全风险评估的基本概念、评估方法、实施过程、项目管理和质量管理等方面作了全面的阐述。在风险评估实际工作中可以根据具体情况，对风险评估的方法、过程和工具进行适当的选择和发展，完成好信息安全风险评估工作。