关于企业公司风险评估方案.docx

【经典资料，ＷＯＲＤ文档，可编辑修改】

【经典考试资料，答案附后，看后必过，ＷＯＲＤ文档，可修改】

编辑时间： 2015 年 9 月 16 日星期三 页码： 1

1. 总体概述

1.1 项目概述

为了更好的了解信息安全状况，根据《信息安全风险评估指南》和 GB/T 20984-2007 《信

息安全技术 信息安全风险评估规范》要求，总体评估公司信息化建设风险。

2.风险评估方案

2.1 风险评估现场实施流程

风险评估的实施流程见下图所示

风险评估准备

资产识别 威胁识别 脆弱性识别

已有安全措施的确认

评估过程文档

风险计算 风险分析

评估过程文档

是

保持已有的安全措施

风险是否接受

否

制定和实施风险处理

计划并评估残余风险

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

否 是否接受残余风险

评估过程文档

是

风险评估文件记录 实施风险管理

2.2 风险评估使用工具

测评过程中所使用的工具见下表所示：

编辑时间： 2015 年 9 月 16 日星期三 页码： 2

序

号

名 称 功 能 描 述 版 本 用途

1

数据库安全扫

描系统

可扫描 Qracle、Sql

Server、Sybase

ATX 数据库漏洞扫描

2

ISS 网络扫描

器

可扫描各类操作系统

和应用系统

7.0sp2 网络、主机漏洞扫描

3

天镜脆弱性扫

描系统

可扫描各类操作系统

和应用系统

6.0 网络、主机漏洞扫描

4

极光远程安全

评估系统

可扫描各类操作系统

和应用系统

AURORA

-200

网络、主机漏洞扫描

网络综合协议

分析仪

OptiView

网络透视与协议分

析，网络性能测评

5 INA 网络流量监控

网 络 系 统 管 自动发现网络拓扑

6 理,HP NNM6.0 绘制网络拓扑图

图、网络性能与故障

OpenView

管理

2.3 风险评估方法