新版保密风险评估.pdf

风

险

评

估

报

告

XXXXX有限公司201xx年xx月

1 概述

针对公司主要业务流程进行风险评估，其中包含了涉密信息系统集成业务管理、人力资源管理、资产管理、涉密场所管理等。

2 评估目的

通过人员访谈、文档审查和实地察看相结合的方式查找公司

信息系统软件开发主要业务流程的薄弱环节和安全隐患，分析可能面临的风险，为保密风险防控措施的落实提供依据。

3 评估依据

《涉密信息系统集成资质单位保密标准》

《中华人民共和国保守国家秘密法》

《中华人民共和国保守国家秘密法实旋条例》

《涉密信息系统集成资质管理办法》

4 评估内容

4.1 人力资源管理风险评估

根据《涉密信息系统集成资质单位保密标准》及公司《安全保密管理制度》中《涉密人员管理制度》中的规定，从人员上岗、在岗、离岗管理三方面分析公司涉密人员管理现状，对公司涉密人员管理的业务流程进行风险评估，识别并评估风险点，进而制定出风险防控措施。

4.1.1 风险级别定义

风险严重程度级别参考书

级别标识定义

很高如果被利用，将对资产或业务造成完全损害

高如果被利用，将对资产或业务造成重大损害

中等如果被利用，将对资产或业务造成一般损害

低如果被利用，将对资产或业务造成较小损害

很低如果被利用，将对资产或业务造成的损害可以忽略4.1.2 风险点

对从事涉密业务的人员进行审查，是否符合条件，符合条件的方可将其确定为涉密人员。是否对涉密人员进行保密教育培训，并签订保密承诺书后方能上岗。

对涉密人员是否保守国家秘密，严格遵守各项保密规章制度进行审查，是否符合以下基本条件：

（1）遵纪守法，具有良好的品行，无犯罪记录；

（2）属于公司正式职工，并在其他公司无兼职；

（3）社会关系清楚，本人及其配偶为中国境内公民。

审查公司与涉密人员签订的劳动合同或补充协议，是否已签署。

公司在岗涉密人员是否每年参加保密教育与保密知识、技能培训，培训的时间应不少于10个学时。

公司是否对在岗涉密人员进行定期考核评价。

公司是否向涉密人员发放保密补贴。

公司涉密人员在离岗离职时，是否经公司保密审查，签订保

密承诺书，并按相关保密规定实行脱密期管理。

4.1.3 风险分析

编号风险点描述严重程度1 涉密人员资格审

查

对涉密人员进行资格审查低

2 涉密人员岗前培

训考核涉密人员保密教育培训考

核不严格

中等

3 涉密人员教育培

训管理对涉密人员进行保密教育

与保密技能培训10学时

低

4 涉密人员离岗离

职管理对离岗离职涉密人员的保

密审查到位

低

5 涉密人员发放保

密补贴对公司涉密人员发放保密

补贴审查到位

低

4.1.4 风险防控措施

编号风险点严重

程度

防控措施

1 涉密人员

资格审查低计划人员招聘阶段，确定该人员是否为公司涉密人员；对涉密人员进行社会关

系的审查，确定其直系亲属是否均为中

国境内公民；若此人员为前单位离职人

员，应和前单位进行确认，确定其在其

它单位无兼职

2 涉密人员

岗前培训

考核中等涉密人员经过保密教育培训后，必须保证考试合格，并与公司签订《公司涉密

人员保密责任书》后方能上岗

3 涉密人员

教育培训

管理低必须严格按照相关规定对涉密人员进行教育培训，必须保证培训学时不低于10

学时。公司保密工作领导小组必须对此

项工作进行监督管理。

4 涉密人员

离岗离职

管理低涉密人员离岗离职前，保密办公司人员必须对其在岗期间所负责的涉密信息系

统集成的信息和资料进行审查，并确保

所有信息资料交回公司保密办；为规避

人员离职离岗后发生泄密风险，必须和

离岗离职的涉密人员签订保密承诺书，

并经公司领导批准方能离职离岗。对离

岗离职人员实行脱密期管理。

5 涉密人员

低公司应对涉密人员发放保密补贴。

发放保密

补贴

4.2 资产管理风险评估

根据《涉密信息系统集成资质单位保密标准》及公司《安全保密管理制度》中《涉密载体管理制度》、《信息系统、信息设备和安全保密防护设备设施管理规定》、《资质证书的使用和管理规定》中的规定，从涉密载体管理、信息系统及设备管理及资质证书管理等方面分析公司涉密资产管理现状，对公司涉密资产管理的业务流程进行风险评估，查找风险点，并进行风险防控。

4.2.1 风险级别定义

风险严重程度级别参考表

级别标识定义

很高如果被利用，将对主要业务造成完全损害

高如果被利用，将对主要业务造成重大损害

中等如果被利用，将对主要业务造成一般损害

低如果被利用，将对主要业务造成较小损害

很低如果被利用，将对主要业务造成的损害可以忽略

4.2.2 风险点

审查涉密信息设备是否符合国家保密标准，有密级、编号、

责任人标识，并建立管理台帐。

检查涉密信息设备的使用是否符合相关保密规定。禁止涉密

信息设备接入互联网及其他公共信息网络；禁止涉密信息设

备接入内部非涉密信息系统；禁止使用非涉密信息设备和个

人设备存储、处理涉密信息；禁止超越计算机、移动存储介

质的涉密等级存储、处理涉密信息；禁止在涉密计算机和非

涉密计算机之间交叉使用移动存储介质；禁止在涉密计算机

与非涉密计算机之间共用打印机、扫描仪等信息设备。

检查涉密信息设备是否采取身份鉴别、访问控制、违规外联

监控、安全审计、移动存储介质管控等安全保密措施，并及

时升级病毒和恶意代码样本库，定期进行病毒和恶意代码查杀。

检查采购的安全保密产品是否选用经过国家保密行政管理部

门授权机构检测、符合国家保密标准要求的产品，计算机病

毒防护产品应当选用公安机关批准的国产产品，密码产品应

当选用国家密码管理部门批准的产品。

检查涉密信息打印、刻录等输出是否相对集中、有效控制，

并采取相应审计措施。

检查涉密计算机及办公自动化设备是否拆除具有无线联网功

能的硬件模块，禁止使用具有无线互联功能或配备无线键盘、无线鼠标等无线外围装置的信息设备处理国家秘密。

检查涉密信息设备的维修，是否在本公司内部进行，是否指

定专人全程监督，严禁维修人员读取或复制涉密信息。

检查涉密计算机及移动存储介质携带外出是否履行审批手

续，带出前和带回后，是否进行保密检查。

4.2.3 风险分析

编号风险点描述严重

程度

1 涉密载体台

账管理建立涉密载体台账，但台账信息

不够完整。

中等

2 涉密载体使

用管理需要接收、交付、传递、保存、

销毁涉密载体时，履行了登记手

续，但需要维修时，记录不完整，

也没有指定的维修厂家。

中等

3 涉密信息设

备台账管理建立信息设备台账，但台账信息

不够完整

中等

4 涉密信息设

备维修、报废

管理对于涉密设备的维修、报废的审

批流程不够清晰

中等

5 涉密信息设

备携带管理涉密计算机携带外出，只履行登

记手续，审批流程不完整

中等

6 涉密信息设

备管理涉密计算机与非涉密计算机之

间共用打印机、扫描仪

高

4.2.4风险防控措施

编号风险点严重

问题

防控措施

1 涉密载体台

账管理中等必须按照要求建立涉密载体台账，明确涉密载体的名称、编号、密级、保密期

限等信息。并对涉密载体进行动态管理，

及时做好涉密载体的新增、减少等记录。

2 涉密载体使

用管理中等建立涉密载体的维修商家名录，并对维修商家的资格进行核查，当涉密载体需

要维修时，只能送到指定的维修商家进

行维修。

3 涉密信息设

备台账管理中等必须按照要求建立涉密信息设备挑战，明确涉密载体的名称、编号、密级、责

任人标识等信息。并对涉密信息设备进

行动态管理。及时做好涉密信息设备的

新增、减少等记录。

4 涉密信息设

备维修、报

废管理中等建立涉密信息设备的售后商家名录，并对售后商家的资格进行核查，当涉密信

息设备需要维修时，只能送到指定的维

修商家进行维修。如必须有外来人员进

行修理时，应有保密办人员全程陪同，

必须指定专人负责，对维修人员、维修对象、维修内容、维修前后状况进行监督并详细记录。涉密信息设备需要报废时，应填写《设备与介质销毁保密审批表》，送交保密行政管理部门设立的销毁工作机构或者保密行政管理部门指定的公司销毁彻，彻底清除其中的涉密信息后，对涉密信息存储部件和介质进行清点、登记、销毁。

5 涉密信息设

备携带管理中等携带涉密信息设备和介质外出，不能只做登记处理，必须报公司保密工作领导

小组批准。未获批携带涉密信息设备外

出，公司将对携带人员和保密办公室人

员实行惩罚机制；外出时，携带人应严

格采取保护措施，介质始终处于有效控

制之下，防止出现丢失、被盗、被毁以

及泄密等情况。

6 涉密信息设

备管理高涉密计算机必须单独使用打印机、扫描仪，不能与非涉密计算机之间共用，确

保涉密信息打印、刻录等输出相对集中、

有效控制，并采取相应审计措施。

4.3 涉密场所管理风险评估

根据《涉密信息系统集成资质单位保密标准》及公司《安全保密管理制度》中《涉密信息系统集成场所保密管理规定》中的规定，从场所出入、门禁系统、监控系统、防盗报警系统等方面

查看并分析公司涉密场所管理现状，对公司涉密场所管理的业务流程进行风险评估，查找风险点，并进行风险防控。

4.3.1 风险级别定义

风险严重程度级别参考表

级别标识定义

很高如果被利用，将对主要业务造成完全损害

高如果被利用，将对主要业务造成重大损害

中等如果被利用，将对主要业务造成一般损害

低如果被利用，将对主要业务造成较小损害

很低如果被利用，将对主要业务造成的损害可以忽略

4.3.2 风险点

公司的涉密办公场所是否固定在相对独立的楼层或区域。

检查公司涉密办公场所是否安装门禁、视频监控、防盗报警

等安防系统，是否实行封闭式管理。监控机房是否安排人员

值守。

是否建立视频监控的管理检查机制，公司安全保卫部门是否

定期对视频监控信息进行回看检查，保密管理办公室是否对

执行情况进行监督。视频监控信息保存时间不少于3个月。

检查门禁系统、视频监控系统和防盗报警系统等是否定期检

查维护，确保系统处于有效工作状态。

检查公司涉密办公场所是否明确允许进入的人员范围，其他

人员进入，是否履行审批、登记手续，是否由接待人员全程

陪同。

检查公司是否未经批准，不得将具有录音、录像、拍照、存

储、通信功能的设备带入涉密办公场所。

4.3.3 风险分析

编号风险点描述严重程度

1 视频监控管

理检查机制管理部门对视频监控信息的回

看检查不及时。

中等

2 视频监控、

门禁、防盗

报警系统管

理对各个安防系统的检查维护不

及时，安防系统出现故障才给予

维修，造成系统无法有效工作。

中等

3 涉密场所出

入管理对非涉密人员进入涉密场所履

行了登记、审批手续，但对进入

人员是否随身携带具有录音、录

像、拍照、存储、通信功能的设

高

备检查不仔细，增加了涉密资料

泄密风险。

4.3.4 风险防控措施

编号风险点严重

程度

防控措施

1 视频监控管

理检查机制中等严格按照公司《涉密信息系统集成场所保密管理规定》的规定，安排专人

对视频监控机房施行24小时值班，

值班人员要每天调看视频监控录像，

并详细做好《值班登记表》，发现可

疑情况，立即向公司分管领导报告，

并对查看结果作书面记录。并保证视

频监控信息保存时间不得少于3个

月。

2 视频监控、

门禁、防盗

报警系统管

理中等公司保密办每季度应对集成场所的

保密管理工作和安全防护设施进行

检查，对安防设施进行维护和检修，

发现问题及时整改，并建立检查整改

记录。确保制度落实、防护设施运行

正常。

3 涉密场所出中等将涉密场所相关管理规定张贴在明

入管理显处，并对公司人员进行宣贯。进入

涉密场所的人员必须由保密办工作

人员全程陪同，严禁进入人员以任何

方式私自录音、录像和摄影。

4.4 业务流程管理风险评估

根据《涉密信息系统集成资质单位保密标准》及公司《安全保密管理制度》、《软件开发管理制度》中的相关规定，从软件开发各个里程碑分析公司软件开发香米管理现状，对公司软件开发项目管理的业务流程进行风险评估，查找风险点，并进行风险防控。

由于公司处于资质申请阶段，没有承接涉密相关业务的资

格，既不能建设涉密信息系统，故仅能对公司目前的软件开发项目的主要业务流程进行风险评估，查找现有的项目管理业务流程是否与保密管理相融合。

4.4.1 风险级别定义

风险严重程度级别参考表

级别标识定义

很高如果被利用，将对主要业务造成完全损害

高如果被利用，将对主要业务造成重大损害

中等如果被利用，将对主要业务造成一般损害

低如果被利用，将对主要业务造成较小损害

4.4.2 风险点

检查公司进入委托方现场进行系统集成项目开发、工程施工、运行维护等是否严格执行现场工作制度和流程。

现场项目开发、工程施工、运行维护是否在委托方的监督下

进行。未经委托方检查和书面批准，不得将任何电子设备带

入项目现场。

公司是否对现场项目开发、工程施工、运行维护的工作情况

进行详细记录并存档备查。

4.4.3 风险分析

编号风险点描述严重

程度

1 制度执行

能力制定了《软件开发管理制度》及开发工

作流程，但执行力度不足。

高

项目进程

管理需求开发制度，会发现对用户及产品的

需求分析不到位的情况，导致设计成果

和用户期望存在一定的差距

中等

3 系统设计阶段，按照开发流程进行了设

计准备、确定影响系统设计的约束因

素、确定设计策略、系统分解与设计，

但撰写体系结构设计文档时不够严谨，

无法将软件系统概述、影响设计的约束

因素、实际策略、系统总体结构、子系

统的结构与模块功能、系统集成策略及

开发、测试、运行所需的软硬件环境等

内容完整表述。

4.4.4 风险防控措施

编号风险点严重

程度

防控措施

制度执行能

力严重定期组织部门人员学习《软件开

发管理制度》及工作流程，形成

培训记录；部门负责人应将制度

中的各里程碑的要求落实到位，

主管领导和公司内审机构每月对

落实情况进行审查，审查不合格，

需由部门负责人作出书面说明，

并出具整改方案，整改后仍不合

格的，公司应实行相应的处罚机

制。

项目进程管

理中等需求开发阶段，在首次获得了用户及产品需求后（用户的需求有

时只是口头表述，不会形成文

档），应主动和用户进行沟通确

认，并将初步的需求沟通以文档

形式反馈给用户，得到用户初步

肯定后，再详细撰写《用户产品

需求说明书》

3 中等系统设计阶段，设计人员应将各

里程碑（设计准备、确定影响系

统设计的约束因素、确定设计策

略、系统分解和设计）的开展情

况及成果（包括每一次的设计变

更）进行记录，以确保此阶段的

输出物《系统设计报告》的完整

性、可靠性。

5 整改要求

一、公司保密工作领导小组对此次保密风险评估的结果负有

监督整改的责任。

二、风险级别为“高”的风险点，整改优先级最高。

三、相应责任部门应结合风险评估中的“风险防控措施”，在三个工作日内出具详细的整改计划。整改计划获批后，责任部门应在三个月内做出整改情况总结，并上报公司保密工作领导小

组，有领导小组组织公司内审机构对整改情况进行审计。

四、公司内审机构需对本次整改情况进行严格把控，重点审

计高风险点的整改情况，对所有风险点的整改情况审计细致到

位，整改不合格，公司将实行惩罚机制。

五、公司内审机构将严格按照PDCA模式每季度对以上防控措施及整条业务流程的执行情况进行审计，详细记录审计结果，对不合格项提出合理化建议，并督促整改，核实整改效果后进入下一周期的内部审计。

信息安全风险评估报告

1111单位:1111系统安全项目信息安全风险评估报告我们单位名日期

报告编写人: 日期：批准人：日期：版本号：第一版本日期第二版本日期终板

目录 1概述 (5) 1.1项目背景 (5) 1.2工作方法 (5) 1.3评估范围 (5) 1.4基本信息 (5) 2业务系统分析 (6) 2.1业务系统职能 (6) 2.2网络拓扑结构 (6) 2.3边界数据流向 (6) 3资产分析 (6) 3.1信息资产分析 (6) 3.1.1信息资产识别概述 (6) 3.1.2信息资产识别 (7) 4威胁分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 4.4威胁识别 (9) 5脆弱性分析 (9) 5.1脆弱性分析概述 (9) 5.2技术脆弱性分析 (10) 5.2.1网络平台脆弱性分析 (10) 5.2.2操作系统脆弱性分析 (10) 5.2.3脆弱性扫描结果分析 (10) 5.2.3.1扫描资产列表 (10) 5.2.3.2高危漏洞分析 (11) 5.2.3.3系统帐户分析 (11) 5.2.3.4应用帐户分析 (11)

5.3管理脆弱性分析 (11) 5.4脆弱性识别 (13) 6风险分析 (14) 6.1风险分析概述 (14) 6.2资产风险分布 (14) 6.3资产风险列表 (14) 7系统安全加固建议 (15) 7.1管理类建议 (15) 7.2技术类建议 (15) 7.2.1安全措施 (15) 7.2.2网络平台 (16) 7.2.3操作系统 (16) 8制定及确认................................................................................................................. 错误!未定义书签。9附录A：脆弱性编号规则.. (17)

新版保密风险评估.pdf

风险评估报告 XXXXX有限公司201xx年xx月

1 概述针对公司主要业务流程进行风险评估，其中包含了涉密信息系统集成业务管理、人力资源管理、资产管理、涉密场所管理等。 2 评估目的通过人员访谈、文档审查和实地察看相结合的方式查找公司信息系统软件开发主要业务流程的薄弱环节和安全隐患，分析可能面临的风险，为保密风险防控措施的落实提供依据。 3 评估依据《涉密信息系统集成资质单位保密标准》《中华人民共和国保守国家秘密法》《中华人民共和国保守国家秘密法实旋条例》《涉密信息系统集成资质管理办法》 4 评估内容 4.1 人力资源管理风险评估根据《涉密信息系统集成资质单位保密标准》及公司《安全保密管理制度》中《涉密人员管理制度》中的规定，从人员上岗、在岗、离岗管理三方面分析公司涉密人员管理现状，对公司涉密人员管理的业务流程进行风险评估，识别并评估风险点，进而制定出风险防控措施。 4.1.1 风险级别定义

风险严重程度级别参考书级别标识定义很高如果被利用，将对资产或业务造成完全损害高如果被利用，将对资产或业务造成重大损害中等如果被利用，将对资产或业务造成一般损害低如果被利用，将对资产或业务造成较小损害很低如果被利用，将对资产或业务造成的损害可以忽略4.1.2 风险点对从事涉密业务的人员进行审查，是否符合条件，符合条件的方可将其确定为涉密人员。是否对涉密人员进行保密教育培训，并签订保密承诺书后方能上岗。对涉密人员是否保守国家秘密，严格遵守各项保密规章制度进行审查，是否符合以下基本条件：（1）遵纪守法，具有良好的品行，无犯罪记录；（2）属于公司正式职工，并在其他公司无兼职；（3）社会关系清楚，本人及其配偶为中国境内公民。审查公司与涉密人员签订的劳动合同或补充协议，是否已签署。公司在岗涉密人员是否每年参加保密教育与保密知识、技能培训，培训的时间应不少于10个学时。

信息安全风险评估服务

1、风险评估概述风险评估概念信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT 领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799 ISO17799国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/ 管理/ 运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。风险评估相关资产，任何对组织有价值的事物。威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，去顶资产风险等级和优先控制顺序。

2、风险评估的发展现状信息安全风险评估在美国的发展第一阶段（60-70 年代）以计算机为对象的信息保密阶段 1067年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作为第一次比较大规模的风险评估。特点：仅重点针对了计算机系统的保密性问题提出要求，对安全的评估只限于保密性，且重点在于安全评估，对风险问题考虑不多。第二阶段（80-90 年代）以计算机和网络为对象的信息系统安全保护阶段评估对象多为产品，很少延拓至系统，婴儿在严格意义上扔不是全面的风险评估。第三阶段（90 年代末，21 世纪初）以信息系统为对象的信息保障阶段随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力明确来源于技术、管理和人员三个方面；逐步形成了风险评估、自评估、认证认可的工作思路。我国风险评估发展 ?2002年在863计划中首次规划了《系统安全风险分析和评估方法研究》课题?2003年8月至2010年在国信办直接指导下，组成了风险评估课题组 ?2004年，国家信息中心《风险评估指南》，《风险管理指南》 ?2005年全国风险评估试点?在试点和调研基础上，由国信办会同公安部，安全部，等起草了《关于开展信息安全风险评估工作的意见》征求意见稿 ?2006 年，所有的部委和所有省市选择1-2 单位开展本地风险评估试点工作?2015 年，国家能源局根据《电力监控系统安全防护规定》（国家发展和改革委

涉密项目保密风险评估及防控措施

陕西华信智能建筑有限责任公司工程部

目录 1、概述 (1) 风险评估的依据 (1) 评估的目的 (1) 2、常见风险评估及防控措施 (2) 参与涉密项目人员风险评估 (2) 可能存在的风险点 (2) 风险防控措施 (2) 涉密载体风险评估 (3) 可能存在的风险点 (3) 风险防控措施 (4) 涉密设备风险评估 (5) 可能存在的风险点 (5) 风险防控措施 (5) 涉密场所风险评估 (6) 可能存在的风险点 (6) 风险防控措施 (7) 3、涉密项目风险评估 (8) 招投标风险评估 (8) 可能存在的风险点 (8)

设计方案风险评估 (9) 可能存在的风险点 (9) 风险防控措施 (9) 分包方案使用风险评估 (10) 可能存在的风险点 (10) 风险控制措施 (10) 设备采购风险评估 (11) 可能存在的风险点 (11) 风险控制措施 (11) 现场实施风险评估 (12) 可能存在的风险点 (12) 风险防控措施 (12) 审查验收风险评估 (13) 可能存在的风险点 (13) 风险防控措施 (13) 项目材料移交风险评估 (14) 可能存在的风险点 (14) 风险防控措施 (14) 运行维护风险评估 (14) 可能存在的风险点 (14)

1、概述风险评估依据《中华人民共和国保守国家秘密法》《涉密信息系统集成资质保密标准》 BMB17《涉及国家秘密的信息系统分级保护技术要求》 BMB20《涉及国家秘密的信息系统分级保护管理规范》 BMB23《涉及国家秘密的信息系统分级保护管理规范》评估目的涉密项目保密风险评估是涉密项目保密工作的重要组成部分。保密风险评估要坚持实事求是的原则，深入调查研究，全面掌握保密风险因素及其影响，进而科学分析企业保密工作面临的形势、存在的问题，在此基础上提出切实可行的风险防范控制措施。近几年来，随着信息技术的飞速发展，现代办公设备逐渐走进了企业的日常工作，涉密项目的参与者和实施环境越来越复杂，保密工作面临着一种全新环境，同时所面临的保密形势日益严峻。涉密项目保密风险评估，作为涉密项目，开展保密风险评估，能为项目部和公司保密机构准确把握涉密项目保密工作所面临的风险，进行重点防控提供科学依据。

信息安全风险评估方案

第一章网络安全现状与问题目前安全解决方案的盲目性现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。网络安全规划上的滞后网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。第二章网络动态安全防范体系用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而

信息安全风险评估管理规定

信息安全风险评估管理规定 This manuscript was revised on November 28, 2020

信息安全风险评估管理办法第一章总则第一条为规范信息安全风险评估（以下简称“风险评估”）及其管理活动，保障信息系统安全，依据国家有关规定，结合本省实际，制定本办法。第二条本省行政区域内信息系统风险评估及其管理活动，适用本办法。第三条本办法所称信息系统，是指由计算机、信息网络及其配套的设施、设备构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的运行体系。本办法所称重要信息系统，是指履行经济调节、市场监管、社会管理和公共服务职能的信息系统。本办法所称风险评估，是指依据有关信息安全技术与管理标准，对信息网络和信息系统及由其存储、传输、处理的信息的保密性、完整性和可用性等安全属性进行评价的活动。第四条县以上信息化主管部门负责本行政区域内风险评估的组织、指导和监督、检查。跨省或者全国统一联网运行的重要信息系统的风险评估，可以由其行业管理部门统一组织实施。涉密信息系统的风险评估，由国家保密部门按照有关法律、法规规定实施。

第五条风险评估分为自评估和检查评估两种形式。自评估由信息系统的建设、运营或者使用单位自主开展。检查评估由县以上信息化主管部门在本行政区域内依法开展，也可以由信息系统建设、运营或者使用单位的上级主管部门依据有关标准和规范组织进行，双方实行互备案制度。第二章组织与实施第六条信息化主管部门应当定期发布本行政区域内重要信息系统目录，制定检查评估年度实施计划，并对重要信息系统管理技术人员开展相关培训。第七条江苏省信息安全测评中心为本省从事信息安全测评的专门机构，受省信息化主管部门委托，具体负责对从事风险评估服务的社会机构进行条件审核、业务管理和人员培训，组织开展全省重要信息系统的外部安全测试。第八条信息系统的建设、运营或者使用单位可以依托本单位技术力量，或者委托符合条件的风险评估服务机构进行自评估。第九条重要信息系统新建、扩建或者改建的，在设计、验收、运行维护阶段，均应当进行自评估。重要信息系统废弃、发生重大变更或者安全状况发生重大变化的，应当及时进行自评估。

(完整版)保密风险评估与管理系统规章规章制度

保密风险评估与管理制度第一条本制度规定了所采用的风险评估方法。通过识别信息资产、风险等级评估，认知公司的风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将风险控制在可接受的水平，保持公司业务持续性发展，以满足管理方针的要求。第二条本制度适用于第一次完整的风险评估和定期的再评估。在辨识资产时，本着尽量细化的原则进行，但在评估时我司又会把资产按照系统进行规划。辨识与评估的重点是信息资产，不区分物理资产、软件和硬件。第三条技术部负责牵头成立风险评估小组。第四条风险评估小组每半年至少一次，或当体系、组织、业务、技术、环境等影响企业的重大事项发生变更、重大事故事件发生后，负责编制风险评估计划，确认评估结果，形成《风险评估报告》。第五条各部门负责部门使用或管理的信息资产的识别和风险评估，并负责部门所涉及的信息资产的具体安全控制工作。第六条各部门负责人负责部门的信息资产识别。技术部经理负责汇总、校对全公司的信息资产。第七条技术部负责风险评估的策划。

第八条技术部牵头成立风险评估小组，小组成员至少应该包含：管理保密部门的成员、重要责任部门的成员。第九条信息资产 1)软件：应用软件、系统软件和适用程序等。 2)硬件：计算机设备、通讯设备、可移动介质和其他设备。 3)数据：数据库数据、系统文档、计划、报告、用户手册、客户配置策略等 4)服务：培训服务、租赁服务、公用设施（能源、电力）。 5)文档：纸质的各种文件、传真、电报、财务报告、发展计划等 6)人员：人员的资格、技能和经验。 7)其他：组织的声誉、商标、形象。第十条本公司的资产范围包括：系统文件、研究信息、用户手册、培训教材、培训操作、培训软件、支持性程序、业务连续性计划、应变安排、审核记录、审核的追踪、归档信息。第十一条评估程序本评估应考虑：范围、目的、时间、效果、组织文化、人员素质以及具体开展的程度等因素来确定，使之能够与组织的环境和安全要求相适应。第十二条资产属性赋值资产赋值是对资产安全价值的估价，而不是以资产的账

信息安全风险评估报告

附件：国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式项目名称：项目建设单位：风险评估单位：年月日

目录一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)

5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)

保密风险评估管理制度

竭诚为您提供优质文档/双击可除保密风险评估管理制度篇一：涉密信息系统安全风险评估涉密信息系统安全风险评估的探讨国家保密技术研究所杜虹引言 20xx年9月7日中共中央办公厅、国务院办公厅以中办发[20xx]27号文件转发了《国家信息化领导小组关于加强国家信息安全保障工作的意见》。其中强调了要重视信息安全风险评估工作。20xx年1月9日国家召开了全国信息安全保障工作会议，黄菊同志在讲话中指出：要开展信息安全风险评估和检查。根据风险评估的结果，进行相应等级的安全建设和管理，特别是对涉及国家机密的信息系统，要按照党和国家有关保密规定进行保护。国家高度重视信息安全风险评估工作，并进一步明确了信息安全风险评估在国家信息安全保障工作中的地位和作用。本文将对信息安全风险评估的基本概念和涉及国家秘密的信息系统（以下简称“涉密信息系统”主要风险评估的作用、形式、步骤、方法等进行讨论。一、信息系统安全风险评估的基本概念

信息系统的安全是一个动态的复杂过程，它贯穿于信息系统的整个生命周期。信息系统安全的威胁来自内部破坏、外部攻击、内外勾结进行的破坏以及信息系统本身所产生的意外事故，必须按照风险管理的思想，对可能的威胁和需要保护的信息资源进行风险分析，选择适当的安全措施，妥善应对可能发生的安全风险。因此，对信息系统特别是重要的信息系统进行不断的安全风险评估是十分必要的。 1．信息系统安全风险评估的定义所谓信息系统安全风险评估是指依据国家有关技术标准，对信息系统的完整性、保密性、可靠性等安全保障性能进行科学、公正的综合评估活动。风险评估是识别系统安全风险并决定风险出现的概率、结果的影响，补充的安全措施缓和这一影响的过程，它是风险管理的一部分。风险评估是对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能性的评估。它是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，确定信息资产的风险等级和优先风险控制顺序。 2．信息安全风险评估的基本要素信息安全风险评估要关注如下基本要素：使命：一个组织机构通过信息化形成的能力要来进行的工作任务。依赖度：一个组织机构的使命对信息系统和信息的依靠

信息安全风险评估报告

胜达集团信息安全评估报告 (管理信息系统) 胜达集团二零一六年一月

1目标胜达集团信息安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。 2.2 评估范围本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。2.3 评估方法采用自评估方法。 3重要资产识别对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。资产清单见附表1。 4安全事件对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。安全事件列表见附表2。 5安全检查项目评估 5.1 规章制度与组织管理评估 5.1.1组织机构 5.1.1.1评估标准信息安全组织机构包括领导机构、工作机构。 5.1.1.2现状描述本局已成立了信息安全领导机构，但尚未成立信息安全工作机构。 5.1.1.3 评估结论

保密风险评估

风险评估报告 XXXXX有限公司201xx年xx月

定出风险防控措施。 4.1.1 风险级别定义风险严重程度级别参考书 4.1.2 风险点 ?对从事涉密业务的人员进行审查，是否符合条件，符合条件的方可将其确定为涉密人员。是否对涉密人员进行保密教育培训，并签订保密承诺书后方能上岗。 ?对涉密人员是否保守国家秘密，严格遵守各项保密规章制度进行审查，是否符合以下基本条件：（1）遵纪守法，具有良好的品行，无犯罪记录；（2）属于公司正式职工，并在其他公司无兼职；

（3）社会关系清楚，本人及其配偶为中国境内公民。 ?审查公司与涉密人员签订的劳动合同或补充协议，是否已签署。 ?公司在岗涉密人员是否每年参加保密教育与保密知识、技能培训，培训的时间应不少于10个学时。 ?公司是否对在岗涉密人员进行定期考核评价。 ?公司是否向涉密人员发放保密补贴。 ?公司涉密人员在离岗离职时，是否经公司保密审查，签订保密承诺书，并按相关保密规定实行脱密期管理。 4.1.3 风险分析

信息安全风险评估报告51753

XXXXX公司信息安全风险评估报告历史版本编制、审核、批准、发布实施、分发信息记录表

一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与服务的企业。 3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。 4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。

二. 风险评估目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。三. 风险评估日期： 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组； 2、通过咨询公司对风险评估小组进行相关培训； 3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方法； 4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产清单； 5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级； 6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施； 7、对于可接受的剩余风险向公司领导汇报并得到批准。六. 风险评估概况根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。主要工作过程如下： 1.2017-9-10 ~ 2017-9-10，风险评估培训； 2.2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法；

信息安全风险评估服务

1、风险评估概述 1.1风险评估概念信息安全风险评估是参照风险评估标准和管理规，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、标准《信息系统安全等级评测准则》等法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等面存在的脆弱性为诱因的信息安全风险评估综合法及操作模型。 1.2风险评估相关资产，任对组织有价值的事物。威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。

风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的法，去顶资产风险等级和优先控制顺序。 2、风险评估的发展现状 2.1信息安全风险评估在美国的发展第一阶段（60-70年代）以计算机为对象的信息保密阶段1067年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作为第一次比较大规模的风险评估。特点：仅重点针对了计算机系统的保密性问题提出要求，对安全的评估只限于保密性，且重点在于安全评估，对风险问题考虑不多。第二阶段（80-90年代）以计算机和网络为对象的信息系统安全保护阶段评估对象多为产品，很少延拓至系统，婴儿在格意义上扔不是全面的风险评估。第三阶段（90年代末，21世纪初）以信息系统为对象的信息保障阶段随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力明确来源于技术、管理和人员三个面；逐步形成了风险评估、自评估、认证认可的工作思路。

保密风险评估与管理规定

保密风险评估与管理规定 Company Document number：WTUT-WT88Y-W8BBGB-BWYTT-19998

企业信息安全风险评估资料

【最新资料，WORD文档，可编辑修改】目录一、信息安全风险评估简介 .............................................................. 二、信息安全风险评估流程 .............................................................. 1.风险评估准备 ................................................................................... 2.资产识别............................................................................................ 3.威胁识别............................................................................................ 4.脆弱性识别........................................................................................ 5.风险分析............................................................................................ 三、信息安全风险评估策略方法 ...................................................... 1）定量分析方法 ................................................................................ 2）定性分析方法 ................................................................................ 3）综合分析方法 ................................................................................ 四、信息安全风险评估的注意事项 .................................................. 1、各级领导对评估工作的重视 ........................................................ 2、加强评估工作的组织和管理 ........................................................ 3、注意评估过程中的风险控制。 .................................................... 4、做好各方的协调配合工作。 ........................................................ 5、提供评估所必须的保障条件。 .................................................... 信息安全风险评估一、信息安全风险评估简介信息安全风险评估的概念涉及资产、威胁、脆弱性和风险4个主要因素。信息安全风险评估就是从管理的角度，运用科学的方法和手段，系统分析网络与信息系统所

信息安全风险评估方案DOC

第一章网络安全现状与问题 1.1目前安全解决方案的盲目性现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。第二章网络动态安全防范体系用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而

保密风险评估与管理系统

保密风险评估与管理 1.保密风险评估的重要性保密风险评估是保密工作的重要组成部分。保密风险评估要坚持实事求是的原则，深入调查研究，全面掌握保密风险因素及其影响，进而科学分析企业保密工作面临的形势、存在的问题，在此基础上提出切实可行的关于风险防范控制措施的建议方案。保密风险一词包括了两方面的内涵。其一，风险意味着会对企业正常的工作带来不良影响；其二，这种影响的出现与否是一种不确定性随机现象，它可用概率表示出现的可能程度，但不能对出现与否做出确定性判断。从而可知，风险因素、风险事故和影响密切相关，它们构成了企业保密风险存在与否的基本条件。简单概括而言：风险因素引起风险事故，风险事故导致对企业带来不良影响。 2.风险点及风控措施 1)涉密人员风险评估可能存在的风险点 a)招聘时人员是否满足涉密人员要求； b)审核时竞聘人员是否有过犯罪记录，是否为中国公民； c)上岗前是否接受过保密知识培训及考核； d)是否与公司签订保密承诺书，保密协议，保密责任书及

涉密人员考核评价考表； e)部门是否按照公司要求开展保密知识培训，加强部门涉密人员的保密意识； f)涉密人员离岗时是否签订离岗保密承诺书，保密工作领导小组是否对其进行脱密期管理。 ●风险防控措施 a)应聘员工应满足公司对涉密人员的聘用标准； b)上岗必须学习岗位保密业务，且保密知识考核成绩合格； c)与公司签署保密协议、保密承诺书、保密责任书； d)员工所在部门领导确认涉密人员考核评级表内容，确认无误后签字，同时保密领导小组同意签字后，评价表交保密工作领导小组存档，作为该员工作为涉密人员的考核内容； e)保密办公室应在年初做好本年度保密知识培训计划及考核计划，组织涉密人员学习各项保密知识。 f)涉密人员在离岗后，严格遵守公司保密制度，与公司签署离岗保密承诺书，并严格遵守公司对离岗人员的脱密期管理。 2)涉密载体风险评估 ●可能存在的风险点纸质文件： a)涉密文件、资料是否有专人管理；

保密风险评估报告()

保密风险评估报告一、做好保密风险评估的重要性众所周知，国家秘密一旦泄露，后果不堪设想。为切实有效地保护国家秘密．必须事先做好保密风险评估报告，让保密工作有的放矢。随着现代科学技术的发展，信息化程度越来越高，保密工作已成为企业的中心工作之一。在信息化条件下，保密工作既是一项复杂的系统工程，同时也是关系到企业的正常工作是否能够顺利进行的重要因素。保密风险评估是保密工作的重要组成部分。保密风险评估要坚持实事求是的原则，深入调查研究，全面掌握保密风险因素及其影响，进而科学分析企业保密工作面临的形势、存在的问题，在此基础上提出切实可行的关于风险防范控制措施的建议方案。保密风险一词包括了两方面的内涵。其一，风险意味着会对企业正常的工作带来不良影响；其二，这种影响的出现与否是一种不确定性随机现象，它可用概率表示出现的可能程度，但不能对出现与否做出确定性判断。从而可知，风险因素、风险事故和影响密切相关，它们构成了企业保密风险存在与否的基本条件。因此，要真正领悟企业保密风险的本质，就必须弄清这三个概念及其相互联系。

导致对企业带来不良影响。二、首先肯定已有的优良保密措施，并提示要更加自觉地做实做细，发扬光大。 1、保密室具备防盗、防火、防潮、防鼠功能；配备双锁、密码锁铁柜，用于存放保密资料。 2、工作在保密岗位上的人员是工作的需要、单位的重托，在一定时间一定范围内知悉的保密事项，只能用于生产，不能向外泄露，不得对外从事技术服务。必须妥善保管各种保密资料，不得丢失泄密，不在报刊杂志上报道保密事项，不得把秘密资料传送到QQ空间、微信朋友圈或微博等。 3、员工离开岗位，应将自己保管的保密资料上交，不得带走或留存。公司可以对其U盘等存储介质进行检查。 4、公司已经召开保密工作会议，对进一步开展保密工作做出全面部署。 5、公司设立专门的仓库，配置专职保管员，要求成品仓库的账簿应记录完整，详细真实，并妥善保管。建立健全秘密的管理制度，做好真实详细的记录，存档保管。 6、建立健全监控设施运行记录，对监控记录资料进行妥善保

信息安全风险评估报告格式

附件：信息安全风险评估报告格式项目名称：项目建设单位：风险评估单位：年月日

涉密规划项目保密风险评估及防控措施

涉密项目保密风险评估及防控措施陕西华信智能建筑有限责任公司工程部

目录 1、概述 (1) 1.1 风险评估的依据 (1) 1.2 评估的目的 (1) 2、常见风险评估及防控措施 (2) 2.1 参与涉密项目人员风险评估 (2) 2.1.1 可能存在的风险点 (2) 2.2.2 风险防控措施 (2) 2.2 涉密载体风险评估 (3) 2.2.1 可能存在的风险点 (3) 2.2.2 风险防控措施 (4) 2.3 涉密设备风险评估 (5) 2.3.1 可能存在的风险点 (5) 2.3.2 风险防控措施 (5) 2.4 涉密场所风险评估 (6) 2.4.1 可能存在的风险点 (6) 2.4.2 风险防控措施 (7) 3、涉密项目风险评估 (8) 3.1 招投标风险评估 (8) 3.1.1 可能存在的风险点 (8) 3.1.2 风险防控措施 (8) 3.2 设计方案风险评估 (9) 3.2.1 可能存在的风险点 (9) 3.2.2 风险防控措施 (9) 3.3 分包方案使用风险评估 (10) 3.3.1 可能存在的风险点 (10) 3.3.2 风险控制措施 (10) 3.4 设备采购风险评估 (11) 3.4.1 可能存在的风险点 (11)

3.4.2 风险控制措施 (11) 3.5 现场实施风险评估 (12) 3.5.1 可能存在的风险点 (12) 3.5.2 风险防控措施 (12) 3.6 审查验收风险评估 (13) 3.6.1 可能存在的风险点 (13) 3.6.2 风险防控措施 (13) 3.7 项目材料移交风险评估 (14) 3.7.1 可能存在的风险点 (14) 3.7.2 风险防控措施 (14) 3.8 运行维护风险评估 (14) 3.8.1 可能存在的风险点 (14) 3.8.2 风险防控措施 (15)