保密风险评估报告

保密风险评估报告

一、做好保密风险评估的重要性

XXX是专门从事信息工程咨询和监理业务的企业，主要面向政府机关、行政事业单位及大型企业提供信息化建设咨询工作，并提供项目实施全过程监理。目前，信息化的应用越来越广泛，政府机关、行政企事业单位大量运用信息化技术和手段，改变原有工作方式及业务流程，极大的提高工作效率，更好的服务于社会。这些众多业务应用系统中或多或少会涉及到不同级别的秘密，因此，信息化下的保密工作非常重要。对于我公司来说，如何在项目咨询过程，为用户提供的解决方案能够达到保密的要求；在项目监理工作中，避免项目实施过程及系统运行产生漏洞，降低保密风险；公司的工作人员如何遵守保密制度和职业操守，避免因用户保密信息泄露，这是我公司在保密制度建设及相应保密措施执行上，需要重点考虑解决的问题，是我公司保密工作的重中之重。

二、涉密项目监理工作保密重点

涉密信息系统工程建设过程中监理的作用主要体现在：发挥工程监理的咨询服务功能；发挥工程监理对工程项目的管理作用。对于前者，工程监理可以向建设方提供关于涉密信息系统工程建设准备和过程中相关的国家标准及规范提供咨询，也可以协助建设方完善安全保密管理体系及相关制度的建设，为工程的测评、审批和运维打下坚实基础，同时也可为承建方在方案设计、涉密改造、系统检测测试、试

运行、验收等各阶段提供咨询，确保项目能够按时按质量完成。对于后者而言，由于涉密信息工程涉及的业务内容繁多，过程较长，一些不按要求进行工作从而引起一些不可预见的影响工程进度的情况出现，大大的增加了工程建设的复杂性。此时，工程监理的重要性就体现出来了，工程监理按照管理规范对涉密信息系统进行监督、控制和管理，严格按照施工流程控制，并规范过程文档，协调各组织的关系，及时发现、妥善处理施工过程中出现的问题就显的非常重要。

工程监理在涉密信息系统建设过程中，通过运用自身对国家相关涉密信息系统建设的管理规范和要求，能够保证工程的实施过程符合国家涉密信息系统分级保护设计方案及工程建设相关要求，能够快速发现和解决施工过程中承建单位不安管理规范进行的影响工程进度、质量的一系列行为。同时工程监理作为独立的第三方，有利于涉密工程项目依据国家保密标准、信息系统工程相关标准以及工程建设合同等有关问题进行协调处理，避免与监理项目的承建单位存在隶属关系和利益关系，或作为其投资者或合伙经营者造成的不按照法律、科学、标准、经验、技术要求来办事的弊端。

工程监理在涉密信息系统工程建设中是不可或缺的一个重要角色，监理在工程建设中的作用，就好比化学反应中的催化剂，不仅可以很好的促进工程向更好的方向发展，同时也可以抑制其向不利于工程项目进展的方向发展。缺乏监理的情况下，就会不可避免的出现各种可能会影响工程进度、质量及安全的事件，在有监理的情况下，对于那些可预见的事件可以进行很好的预防。总之，工程监理在涉密信

息系统建设的项目非常重要。

我公司对信息工程监理工作的主要业务流程如下：

1、编制《监理规划》，《监理规划》是具体指导项目监理服务实施

的文件。在收到施工图纸、工程施工合同等与监理工作有关的

资料后，总监理工程师组织项目部全体人员研究有关资料，并

主持依据《监理规划》；

2、监理工作实施过程中，如实际情况或条件发生重大变化需要调

整《监理规划》时，应由总监理工程师组织专业监理工程师研

究修改，按报审程序经过批准后报业主单位。

3、总监理工程师应组织监理人员熟悉设计文件，并对设计文件中

存在的问题向业主单位、承建单位提出书面意见和建议。项目

监理人员应参加由业主单位组织的设计技术交底会，总监理工

程师对设计技术交底会议纪进行签认。

4、总监理工程师组织专业监理工程师审查承建单位报送的《施工

组织设计(方案)报审表》，提出审查意见，经总监理工程师审核、签认后回复承建单位并报业主单位。

5、总监理工程师应审查承建单位现场项目管理机构的质量管理

体系、技术管理体系和安全保证体系。在上述体系可以保证工

程项目施工质量、安全时予以确认。

6、专业监理工程师应审查承建单位报送的《工程开工/复工报审

表》，确认具备开工条件，由总监理工程师签署意见后回复承

建单位并报业主单位。

7、监理人员参加由业主单位主持召开的第一次工地会议。总监理

工程师对施工准备情况提出意见和要求，介绍监理规划主要内

容，对监理工作进行交底，以求得工作上的配合。会议纪要由

项目部起草，并经与会各方代表会签。

8、专业监理工程师将当日工程进展情况和监理所做的工作及时，

准确地记在个人监理日记上。项目部的监理日记由总监理工程师或其授权的专人负责编写，编写过程中要充分收集专业监理工程师的意见和记录，该日记由总监理工程师或经其授权的人员在间隔不超过一周内检查并签字。

9、承建单位在施工过程中出现违反相关规范和法规的行为，未按

施工组织设计或施工方案开展施工工作，专业监理工程师签发《监理工程师通知单》并督促施工单位进行整改。整改完毕后应由承建单位填报《监理工程师通知回复单》并由专业监理工程师进行复检并签认。

10、在施工过程中，当承建单位对已批准的施工组织设计进行

调整、补充或变动时，应经专业监理工程师审查，并应由总监理工程师签认。对于重点部位、关键工序，专业监理工程师应要求承建单位报送施工方案，审核同意后予以签认。发现施工单位擅自更改施工组织设计或施工方案，并由可能对工程质量造成不良影响时，监理工程师应及时签发《监理工程师通知单》，必要时签发《工程暂停令》。

11、专业监理工程师应对承建单位报送的《工程材料/构配件/

设备报审表》及其质量证明资料进行审核，并对进场的实物进行检查和验收，对于进口设备，专业监理工程师应配合商检局开箱验收。并应按照委托监理合同约定或有关工程质量管理文件规定的比例采用平行检验或见证取样方式进行抽检。对未经监理人员验收或验收不合格的工程材料、构配件、设备，监理人员应拒绝签认，并应签发《监理工程师通知单》，书面通知

承建单位限期将不合格的工程材料、构配件、设备撤出现场。

对承建单位提出紧急放行的要求，在该批材料可以追回的情况下，专业监理工程师应请示总监理工程师后作出相应决定，项目部对该类放行应做特别记录。

12、总监理工程师安排监理人员对施工过程进行巡视和检查，

检查情况记录于个人监理日记或针对工程特点特别设计的实测检查表上。对隐蔽工程的隐蔽过程、下道工序施工完成后难以检查的重点部位，专业监理工程师应根据监理细则中的旁站监理计划安排监理员进行旁站。并根据承建单位报送的隐蔽工程报验申请和自检结果进行现场检查，符合要求予以签认。对未经监理人员验收或验收不合格的工序，监理人员拒绝签认，并要求承建单位严禁下一道工序的施工。

13、专业监理工程师应对承建单位报送的分项工程质量验评资

料进行审核，符合要求后予以签认；总监理工程师应组织监理人员对承建单位报送的分部工程和单位工程质量验评资料进行审核和现场检查，符合要求后予以签认。对施工过程中出现的质量问题，专业监理工程师应及时下达《监理工程师通知单》，要求承建单位整改，并检查整改结果。

14、专业监理工程师在进行现场计量的基础上，按施工合同约

定的工程量计算规则和支付条款审核工程量清单和《工程款支付申请表》。审查意见报总监理工程师审定，由总监理工程师签署工程款支付证书，并报业主单位。未经监理人员质量验收合格的工程量，或不符合施工合同规定的工程量，监理人员拒绝计量和该部分的工程款支付申请。

15、专业监理工程师检查进度计划的实施，并记录实际进度及

其相关情况。检查情况记录于项目部的监理日记或针对工程特点特别设计的进度检查表上。当实际进度符合计划进度时，应要求承建单位编制下一期进度计划；当发现实际进度滞后于计划进度时，应签发监理工程师通知单指令承建单位采取调整措施。当实际进度严重滞后于计划进度时应及时报总监理工程师，由总监理工程师与业主单位、承建单位共同分析原因并研究对策，采取进一步的技术措施、组织措施、经济措施和其他配套措施。

16、总监理工程师组织专业监理工程师审查业主单位或承建单

位提出的工程变更，审查同意后，由业主单位转交原设计单位编制设计变更文件。当工程变更涉及安全、环保等内容时，应按规定经有关部门审定。专业监理工程师应了解实际情况和收集与工程变更有关的资料，确定工程变更项目与原工程项目之间的类似程度以及工程变更的难易程度、工程量、单价或总价。

总监理工程师必须对工程变更的费用和工期作出评估，尚应就工程变更费用及工期的评估情况与承建单位和业主单位进行协调。

17、在施工过程中，总监理工程师应定期主持召开工地例会。

会议纪要应由项目部负责起草，并经与会各方代表会签。

18、专业监理工程师应检查承建单位是否执行安全技术措施计

划或施工组织设计所规定的安全施工要求，并督促总承建单位管好分包单位，并按合同规定，提供安全施工设施。

19、总监理工程师应组织专业监理工程师对承建单位的竣工资

料进行审查，对工程质量进行预验收。专业监理工程师应督促承建单位对预验收提出的质量问题进行整改，对整改进行验证

并作好记录，对需要跟踪验证的项目应与承建单位另订计划。

20、总监理工程师负责组织专业监理工程师按《信息化工程监

理规范》、监理委托合同要求以及监理服务过程中积累的资料

整理编制《监理总结报告》。《监理总结报告》应经由总工程师

审核。《监理总结报告》及其附件批准后，由总监理工程师代

表公司签发、提交业主单位。

21、在编制《监理规划》时，我们考虑到本项目是安防建设项

目，因为项目涉及到安全，会与一些涉密系统对接，本身系统

也会依托公安专网，智能安防系统实际上也是博乐智慧城市的

组成部分，在开展监理工作时，对于涉密方面必须要给予重点

考虑；

在监理过程中，我们严格按照《监理规划》的要求及建设合同的约定展开监理工作，同时在项目实施过程中提出合理化建议，针对保密工作方面：

1、对于涉密项目监理工作，明确保密领导小组组长负责保密管理工作，并严格控制知悉范围。公司首先由涉密工作领导小组召开动员会，根据公司保密制度制定项目工作计划，就是严格选择项目经理及工作人员；

2、由保密办公室具体审查项目组成员，确保成员必须符合要求；

3、项目经理制定本项目保密方案，保密领导小组审批；

4、保密办公室负责依据审核后的保密方案，与项目组所有成员签订项目《保密协议》，人员应当按照有关规定进行安全保密审查，与单位签订安全保密责任书，明确安全保密责任和义务。离开涉密工作岗位，应当清退涉密载体，实行脱密期管理。

5、保密办公室负责监督、检查项目组的工作，发现不符合要求的，

立即责成项目经理整改；

6、涉密载体应当按照有关规定标明密级和保密期限，建立台账，集中统一管理；制作、收发、传递、使用、复制、保存、维修和销毁涉密载体（含纸介质、磁介质等），应当严格按照国家保密管理规定，履行签收、登记、审批等手续；对接触或知悉绝密级国家秘密的人员应当作出文字记载。

7、涉密计算机管理

●涉密计算机及其移动存储介质集中管理，并建立台账；

●涉密计算机和信息系统与国际互联网和其它公共信息网物理隔离；

涉密计算机不安装任何无线通信设备;

●涉密信息系统投入使用前必须经过国家保密部门系统测评和审批；

●非涉密计算机和信息系统不存储和处理涉密信息；

●涉密信息远程传输应当按照国家保密部门要求采取密码保护措施；

●涉密计算机和信息系统内使用的移动存储介质采取绑定或有效的

技术控制措施，信息导入和导出应当符合国家有关保密要求；

●存储、处理国家秘密的计算机和信息系统按照有关法律法规及标

准进行技术防护。

8、涉密通信和办公自动化设备管理

●涉密办公自动化设备不得连接互联网或其它公共信息网；

●不得使用具有无线互联功能的办公自动化设备处理涉密信息；

●不得使用普通通信设备传递涉密信息；

●不得使用普通电话（手机）谈论涉密事项；

●不得在涉密场所使用无绳电话。

对于项目组，要求项目经理在项目实施过程中，必须将保密工作放在重中之重，不论是从本公司项目组的成员管理、资料管理，还是对承

建方，也要从其管理上进行监督，并对保密风险问题要求承建方整改，同时在项目实施过程中，也要对信息系统中的保密风险提出建议，对甲方负责，通常信息系统应当注意的保密风险：

1、我们建议系统一定要有系统访问控制方面，主要采用两种方式实现：一种是限制访问系统的人员；另一种是限制进入系统的用户所能做的操作。前一种主要通过用户标识与验证来实现，而后一种则依靠存取控制来实现；

2、涉密系统必须建立一套安全监控系统，全面监控系统的活动，并随时检查系统的使用情况，一旦有非法入侵者进入系统，能及时发现并采取相应措施，确定和堵塞安全及保密的漏洞。利用日志和审计功能对系统进行安全监控，涉密系统应建立完善的审计系统和日志管理系统；

●对于办公自动化系统和管理信息系统软件的安全保密：

●对数据设置级别和使用权限；

●对用户进行分类；

●规定各类用户对应用系统功能的使用范围；

●对不同级别数据，规定可以访问的用户；

●根据实际工作流程确定对数据和系统功能的使用权限。

●对涉密信息必须进行标密。

3、在计算机网络安全保密方面，要求计算机网络抵御来自外界侵袭等应采取的安全保密措施。必须采用国产的设备来实现网络的安全保密。目前主要通过采用安全防火墙系统、安全代理服务器、安全加密网关等来实现。

4、对于计算机信息传输的保密，要求采取不易被截取的通信方法（如光纤通信），并要对传输数据进行数据流加密，使非法攻击者无法读

出所截获的传输数据。

5、从技术的层面考虑保密管理，还需要制定严格的保密制度，管理是安全保密的有效保障，通过对应用人员、系统设备、系统软件和所处理的信息及介质的制度化管理来保证用户的利益和安全。这主要是通过各单位机房管理制度或守则，计算机系统维护管理制度和介质管理制度等实现，各单位必须根据本单位的实际情况，制定和完善各项管理制度。

三、对保密风险的认识

保密工作存在的风险因素

（一）保密工作团队上的问题；

1、领导保密意识尚不够敏感；

2、保密教育不经常、保密知识缺乏；

3、保密组织的任务分工不明、对保密形势的估计不准确；

4、专项检查不到位、安全隐患排查不彻底；

5、保密员队伍建设还须加强；

6、工作思路缺乏创新、工作缺乏协同合作。

（二）保密工作环境上的问题：

1、可能在设备设施上泄密；

2、可能在计算机系统上泄密；

3、可能在工作及学习训练过程中泄密；

4、员工跳槽频繁；

如果企业的核心资料外传，甚至落入竞争对手手中，则企业很可能在竞争中失败。所以，保证企业的核心资料不被泄露是保证企业在

竞争激烈市场立足之本。

对于企业重要数据泄密的途径，可以归纳为七点：

（1）笔记本电脑等移动终端遗失或失窃；

（2）跨部门或跨计算机的数据转移以及外来计算机非法侵入；

（3）存储介质随意使用；

（4）网络外发程序，如发送电子邮件、QQ信息、微信等；

（5）打印、复印以及光盘刻录；

（6）数据非法二次转播；

（7）OA等移动办公终端对于办公系统的接入。

四、对保密工作自我评价及改进

对保密工作要有的放矢地开展，堵塞泄密途径。我公司成立专门了保密管理领导小组，负责整体公司的保密工作，制定了保密管理制度，由保密领导小组监督制度执行情况，同时，公司针对涉密的项目，还制定了如下措施：

1、公司专设设置了涉密项目管理区域，凡是用户项目涉及秘密，都经由公司专门安排的涉密工程师进行处理，其他人员不得接触此类项目；

2、涉密项目管理区具备专门的资料存档柜，钥匙交由保密领导小组管理，涉密资料查阅必须经过批准，涉密项目资料不得外借、复制；

3、涉密项目使用固定的涉密计算机及打印机，涉密计算机不能上网（有线、无线均不可），涉密计算机不得带离涉密工作区域；

4、涉密岗位上的人员是工作的需要，在一定时间一定范围内知悉的保密事项，只能用于项目，不能向外泄露，不得对外从事技术服务。必须妥善保管各种保密资料，不得丢失泄密，不在报刊杂志上报道保密事项，不得把秘密资料传送到QQ空间、微信朋友圈或微博等。

5、涉密员工离职，应将自己保管的保密资料上交，不得带走或留存。

6、为进一步贯彻落实涉密岗位责任制度，公司与涉密员工磋商签订《保密协议》。

7、涉密办公区域是要害部门。计算机系统由专人管理，配备好防范设施，涉密文件的打印需用专用磁盘由专人负责。

8、建立健全涉密载体管理制度，对涉密资料做好真实详细的记录，存档保管。

近几年来，随着信息技术的飞速发展，现代办公设备逐渐走进了企业的日常工作，保密工作面临着一种全新环境；保密工作面临的形势日益严峻。

保密风险评估，作为企业开展保密工作的前提，能为单位领导准确把握本单位保密工作所面临的风险，进行重点防控提供科学依据。根据对本公司保密状况的分析，认为本公司应当主要从加强保密条件建设方面进一步采取积极有效的措施：

1、进一步加强保密“软件建设”。保密条件建设分为“软件建设”和“硬件建设”两大类，其中“软件建设”是灵魂，“硬件建设”是基础。加强保密“软件建设”，就是要从根本上进一步强化人员的保

密意识，建议有关部门领导要加强教育，统一思想，通过认真学习《保密法》和《保密法实施条例》，切实开展好保密工作的教育与宣传。及时传达贯彻上级保密工作会议精神及保密局文件精神，按照工作要求落实措施，对重点涉密人员进行经常性的保密教育。通过宣传教育，使所属人员的保密意识明显提高，政治责任感进一步增强。同时，要结合本公司保密工作面临的实际情况，进一步完善本公司《保密制度》，严肃保密工作纪律，发生失密、泄密，视情节轻重、危害大小，依据国家有关保密规定给予批评教育或处分。将保密工作列入重要议事日程，确立“保密工作无小事”的思想理念，从思想教育入手，将保密工作摆在突出位置。

2、进一步加强信息设备的安全建设。随着信息技术的发展，各种高技术信息设备不断涌现，它们在为员工日常工作、学习、训练提供便利的同时，也给保密工作带来了更多挑战。为此，要进一步加强信息设备的安全建设，对一些存在较大安全隐患的设备坚决不能引进使用，使用时要制定严格的使用规则。对本公司的所有办公计算机、移动存储介质、打印机、复印机、传真机、扫描仪等设备进行了一次全面、彻底的保密清查，将所有设备登记入册，进一步明确使用范围和责任人，同时对这些信息设备要进行不定时检查，将有隐患的设备及时处理。同时，要制定必要的防范措施，对网站要进行全天候监控，严防病毒攻击与木马植入，涉密计算机软件要安装先进软件，安装防辐射、即时杀毒、备份软件，涉密信息设备要有防电磁辐射、防内置、防失控、防失窃功能。

3、进一步完善保密工作机制。俗话说：“无规矩不成方圆。”同样，企业保密工作也需要完善的保密机制来保障。近年来，随着保密形势的日益严峻，对保密机制提出了更高的要求。所以，建议公司保密部门领导要加强制度建设，始终把落实规章制度作为抓好保密工作的关键环节，认真贯彻落实《保密法》及有关保密工作的规定，从文件的登记、收发、传递、归档、销毁等各个环节都严格按照规范流程，落实管理规定，做到了按制度管人管事。

4、在劳动合同中约定员工保密义务和竞业限制。根据《劳动合同法》第23条、第24条的规定，用人公司与劳动者可以在劳动合同中约定保守用人公司的商业秘密和与知识产权相关的保密事项。竞业限制的人员限于用人公司的高级管理人员、高级技术人员和其他负有保密义务的人员。竞业限制的范围、地域、期限由用人公司与劳动者约定，竞业限制的约定不得违反法律、法规的规定。

面对日益严峻的保密形势，保密风险的控制更为困难。公司领导要带头做好保密工作，齐抓共管、综合治理，要适应新要求、采取新措施，充分认识到新形势下做好保密工作的重要性和紧迫性，进一步做好各项保密工作，努力促进本公司的保密工作再上一个新台阶。

保密风险评估报告

保密风险评估报告 XXXXX开发有限公司 XXXX年1月9日

目录 1.概述 (4) 1.1背景 (4) 1.2风险评估的依据 (6) 1.3风险评估的目的 (6) 1.4风险评估的措施 (7) 2.风险评估 (10) 2.1涉密人员风险评估 (10) 2.2涉密载体风险评估 (11) 2.3涉密设备风险评估 (13) 2.4涉密场所风险评估 (14) 2.5涉密项目风险评估 (15) 2.5.1招投标风险评估 (15) 2.5.2设计方案风险评估 (16) 2.5.3系统集成过程风险评估 (17) 2.5.3.1分保方案使用风险评估 (18) 2.5.3.2设备采购风险评估 (18) 2.5.3.3现场实施风险评估 (19) 2.5.3.4审查验收风险评估 (20) 2.5.3.5项目材料移交风险评估 (20) 2.5.3.6运行维护风险评估 (21) 2.5.3.7项目流程图 (22)

3.持续性改进机制 (26) 4.风险评估小结 (30)

1.概述 1.1背景 ●公司发展历史及现状 XXXXXXX于XXXXXXX年4月20日注册成立，注册地址位于XXXXXX，注册资金XXX万元，公司员工XXX人。公司成立初期主要业务范围是以XXXXXXX。 为了公司发展需要，注册资金经过多次变更，由最初的XXXX万元增资到XXXX万人民币。公司也在此期间取得了本行业相关的资质：ISO9001：2000质量体系认证;信息系统集成三级资质和公共安全技术防范壹级资质，并且是中央政府采购网的协议供货商及合格的竞价谈判供应商，并具备XXXXXXX政府及XXXXXXX政府的供应商资格，还是XXXXXXX 集团和XXXXXXX集团的合法供应商。目前公司现经营地址为XXXXXXX，拥有办公场地XXXX多平方米，客户遍及政府，金融及保险，能源，军队等各大行业和机构，现已成为一家有着深厚技术实力和良好合作支持,以系统集成,软件开发，网络维护及集成，音视频会议集成，监控设计及安装调试,应用开发与服务为主的综合性IT企业。公司近三年系统集成项目金额达XXXXX万元。 ●公司人员组织结构 公司注重团队建设和人才的培养，现拥有员工XXXX人，全体员工80.4.%以上是本科以上文化程度，技术人员具备机电工程、建筑智能化工程、计算机系统集成、计算机网络应用、软件开发等所需的各种专业资质证书和从业证书，并且也取得国际认证的软、硬件工程师证书及各

新版保密风险评估.pdf

风 险 评 估 报 告 XXXXX有限公司201xx年xx月

1 概述 针对公司主要业务流程进行风险评估，其中包含了涉密信息系统集成业务管理、人力资源管理、资产管理、涉密场所管理等。 2 评估目的 通过人员访谈、文档审查和实地察看相结合的方式查找公司 信息系统软件开发主要业务流程的薄弱环节和安全隐患，分析可能面临的风险，为保密风险防控措施的落实提供依据。 3 评估依据 《涉密信息系统集成资质单位保密标准》 《中华人民共和国保守国家秘密法》 《中华人民共和国保守国家秘密法实旋条例》 《涉密信息系统集成资质管理办法》 4 评估内容 4.1 人力资源管理风险评估 根据《涉密信息系统集成资质单位保密标准》及公司《安全保密管理制度》中《涉密人员管理制度》中的规定，从人员上岗、在岗、离岗管理三方面分析公司涉密人员管理现状，对公司涉密人员管理的业务流程进行风险评估，识别并评估风险点，进而制定出风险防控措施。 4.1.1 风险级别定义

风险严重程度级别参考书 级别标识定义 很高如果被利用，将对资产或业务造成完全损害 高如果被利用，将对资产或业务造成重大损害 中等如果被利用，将对资产或业务造成一般损害 低如果被利用，将对资产或业务造成较小损害 很低如果被利用，将对资产或业务造成的损害可以忽略4.1.2 风险点 对从事涉密业务的人员进行审查，是否符合条件，符合条件的方可将其确定为涉密人员。是否对涉密人员进行保密教育培训，并签订保密承诺书后方能上岗。 对涉密人员是否保守国家秘密，严格遵守各项保密规章制度进行审查，是否符合以下基本条件： （1）遵纪守法，具有良好的品行，无犯罪记录； （2）属于公司正式职工，并在其他公司无兼职； （3）社会关系清楚，本人及其配偶为中国境内公民。 审查公司与涉密人员签订的劳动合同或补充协议，是否已签署。 公司在岗涉密人员是否每年参加保密教育与保密知识、技能培训，培训的时间应不少于10个学时。

保密风险评估

保密风险评估

风 险 评 估 报 告 XXXXX有限公司201xx年xx月

1 概述 针对公司主要业务流程进行风险评估，其中包含了涉密信息系统集成业务管理、人力资源管理、资产管理、涉密场所管理等。 2 评估目的 通过人员访谈、文档审查和实地察看相结合的方式查找公司信息系统软件开发主要业务流程的薄弱环节和安全隐患，分析可能面临的风险，为保密风险防控措施的落实提供依据。 3 评估依据 《涉密信息系统集成资质单位保密标准》 《中华人民共和国保守国家秘密法》 《中华人民共和国保守国家秘密法实旋条例》 《涉密信息系统集成资质管理办法》 4 评估内容 4.1 人力资源管理风险评估 根据《涉密信息系统集成资质单位保密标准》及公司《安全保密管理制度》中《涉密人员管理制度》中的规定，从人员上岗、在岗、离岗管理三方面分析公司涉密人员管理现状，对公司涉密人员管理的业务流程进行风险评估，识别并评估风险点，进而制

定出风险防控措施。 4.1.1 风险级别定义 风险严重程度级别参考书 4.1.2 风险点 ?对从事涉密业务的人员进行审查，是否符合条件，符合条件的方可将其确定为涉密人员。是否对涉密人员进行保密教育培训，并签订保密承诺书后方能上岗。 ?对涉密人员是否保守国家秘密，严格遵守各项保密规章制度进行审查，是否符合以下基本条件： （1）遵纪守法，具有良好的品行，无犯罪记录； （2）属于公司正式职工，并在其他公司无兼职；

（3）社会关系清楚，本人及其配偶为中国境内公民。 ?审查公司与涉密人员签订的劳动合同或补充协议，是否已签署。 ?公司在岗涉密人员是否每年参加保密教育与保密知识、技能培训，培训的时间应不少于10个学时。 ?公司是否对在岗涉密人员进行定期考核评价。 ?公司是否向涉密人员发放保密补贴。 ?公司涉密人员在离岗离职时，是否经公司保密审查，签订保密承诺书，并按相关保密规定实行脱密期管理。 4.1.3 风险分析

公司保密风险评估报告.doc

公司保密风险评估报告1 公司保密风险评估报告 一、做好保密风险评估的重要性 XXX是专门从事信息工程咨询和监理业务的企业，主要面向政府机关、行政事业单位及大型企业提供信息化建设咨询工作，并提供项目实施全过程监理。目前，信息化的应用越来越广泛，政府机关、行政企事业单位大量运用信息化技术和手段，改变原有工作方式及业务流程，极大的提高工作效率，更好的服务于社会。这些众多业务应用系统中或多或少会涉及到不同级别的秘密，因此，信息化下的保密工作非常重要。对于我公司来说，如何在项目咨询过程，为用户提供的解决方案能够达到保密的要求；在项目监理工作中，避免项目实施过程及系统运行产生漏洞，降低保密风险；公司的工作人员如何遵守保密制度和职业操守，避免因用户保密信息泄露，这是我公司在保密制度建设及相应保密措施执行上，需要重点考虑解决的问题，是我公司保密工作的重中之重。 二、涉密项目监理工作保密重点 涉密信息系统工程建设过程中监理的作用主要体现在：发挥工程监理的咨询服务功能；发挥工程监理对工程项目的管理作用。对于前者，工程监理可以向建设方提供关于涉密信息系统工程建设准备和过程中相关的国家标准及规范提供咨询，也可以协助建设方完善安全保密管理体系及相关制度的建设，为工程的测评、审批和运维打下坚实基础，同时也可为承建方在方案设计、

涉密改造、系统检测测试、试 运行、验收等各阶段提供咨询，确保项目能够按时按质量完成。对于后者而言，由于涉密信息工程涉及的业务内容繁多，过程较长，一些不按要求进行工作从而引起一些不可预见的影响工程进度的情况出现，大大的增加了工程建设的复杂性。此时，工程监理的重要性就体现出来了，工程监理按照管理规范对涉密信息系统进行监督、控制和管理，严格按照施工流程控制，并规范过程文档，协调各组织的关系，及时发现、妥善处理施工过程中出现的问题就显的非常重要。 工程监理在涉密信息系统建设过程中，通过运用自身对国家相关涉密信息系统建设的管理规范和要求，能够保证工程的实施过程符合国家涉密信息系统分级保护设计方案及工程建设相关要求，能够快速发现和解决施工过程中承建单位不安管理规范进行的影响工程进度、质量的一系列行为。同时工程监理作为独立的第三方，有利于涉密工程项目依据国家保密标准、信息系统工程相关标准以及工程建设合同等有关问题进行协调处理，避免与监理项目的承建单位存在隶属关系和利益关系，或作为其投资者或合伙经营者造成的不按照法律、科学、标准、经验、技术要求来办事的弊端。 工程监理在涉密信息系统工程建设中是不可或缺的一个重要角色，监理在工程建设中的作用，就好比化学反应中的催化剂，不仅可以很好的促进工程向更好的方向发展，同时也可以抑制其向不利于工程项目进展的方向发展。缺乏监理的情况下，就会不可避免的出现各种可能会影响工程进度、质量及安全的事件，在有监理的情况下，对于那些可预见的事件可以进行很好的预防。

软件开发保密资质保密风险评估报告

软件开发保密资质保密风险评估报告 保密风险评估报告 编写人：XX XX网络科技有限公司 年XX月XX日

目录 概述 (3) 1.1背景 (3) 1.2风险评估的依据 (4) 1.3风险评估的目的 (5) 1.4风险评估的措施 (5) 1.风险评估 (8) 2.1涉密人员风险评估 (8) 2.2涉密载体风险评估 (9) 2.3涉密设备风险评估 (11) 2.4涉密场所风险评估 (13) 2.5涉密项目风险评估 (14) 2.5.1招投标风险评估 (14) 2.5.2设计方案风险评估 (16) 2.5.3软件开发设计过程风险评估 (17) 2.5.3.1分保方案使用风险评估 (17) 2.5.3.2第三方软件采购风险评估 (18) 2.5.3.3项目实施风险评估 (18) 2.5.3.4审查验收风险评估 (19) 2.5.3.5项目材料移交风险评估 (19) 2.5.3.6运行维护风险评估 (20) 2.5.3.7项目流程图 (21) 2.持续性改进机制 (24) 3.风险评估小结 (28)

概述 1.1背景 ●公司发展历史及现状 海口XXX有限公司于xx年XX月注册成立。注册资金XX万元，公司员工56人。公司成立初期主要业务范围是以系统集成为主，最近两年，主营业务逐渐由系统集成向软件开发转变。 公司也在此期间取得了多项行业相资质： ISO9001：2000质量体系认证;信息系统集成三级资质；软件能力成熟度CMMI3认证，并具备海南省政府及海南省各市县级政府的供应商资格，还是中石化海南炼化和中海油东方石化等能源化工企业的合法供应商。目前公司现经营地址为xxx，拥有办公场地300多平方米，客户遍及政府安监、政府应急，生产制造，能源化工等各大行业和机构，现已成为一家有着深厚技术实力和良好合作支持,以软件开发，系统集成,智能工厂，IT外包等服务为主的综合性IT企业。 ●公司人员结构 公司注重团队建设和人才的培养，员工80%以上是本科以上文化程度，技术人员具备机电工程、建筑智能化工程、计算机系统集成、计算机网络应用、软件开发等所需的各种专业资质证书和从业证书，并且也取得国际认证的软、硬件工程师证书及各生产厂家认证的工程师证书。公司拥有已有认证的计算机信息系统集成项目经理8人，高级项目经理4人，均具有本行业多年从业经验，并参与了各种大型软件开发项目的设计与实施。公司的技术副总从业17年，独立完多项大型软件项目的设

信息安全风险评估报告

XXXXX公司 信息安全风险评估报告

历史版本编制、审核、批准、发布实施、分发信息记录表

一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与 服务的企业。 3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。 4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。 二. 风险评估目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。 三. 风险评估日期： 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。 五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组； 2、通过咨询公司对风险评估小组进行相关培训； 3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方 法； 4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产 清单；

5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级； 6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施； 7、对于可接受的剩余风险向公司领导汇报并得到批准。 六. 风险评估概况 根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。主要工作过程如下： 1.2017-9-10 ~ 2017-9-10，风险评估培训； 2.2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法； 3.2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为 物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类； 4.2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在 风险，并在ISMS工作组内审核； 5.2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表； 6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作 组组织审核，并最终汇总形成本报告。 . 七. 风险评估结果统计 本次风险评估情况详见各部门“风险评估表”，其中共识别出资产190个，重要资产115个，信息安全风险115个，不可接受风险42个.

保密风险评估报告

风险评估报告 一、做好风险评估的重要性 我公司是专门的秘密载体印制企业，所以，工作是重中之重。 众所周知，国家秘密一旦泄露，后果不堪设想。为切实有效地保护国家秘密．必须事先做好风险评估报告，让工作有的放矢。 随着现代科学技术的发展，信息化程度越来越高，工作已成为企业的中心工作之一。在信息化条件下，工作既是一项复杂的系统工程，同时也是关系到企业的正常工作是否能够顺利进行的重要因素。 风险评估是工作的重要组成部分。风险评估要坚持实事的原则，深入调查研究，全面掌握风险因素及其影响，进而科学分析企业工作面临的形势、存在的问题，在此基础上提出切实可行的关于风险防控制措施的建议方案。 风险一词包括了两方面的涵。其一，风险意味着会对企业正常的工作带来不良影响；其二，这种影响的出现与否是一种不确定性随机现象，它可用概率表示出现的可能程度，但不能对出现与否做出确定性判断。从而可知，风险因素、风险事故和影响密切相关，它们构成了企业风险存在与否的基本条件。因此，要真正领悟企业风险的本质，就必须弄清这三个概念及其相互联系。 简单概括而言：风险因素引起风险事故，风险事故导致对企业带

来不良影响。 二、首先肯定已有的优良措施，并提示要更加自觉地做实做细，发扬光大。 在我公司，秘密载体生产场所实行全封闭管理，设置特营原辅料仓库、生产工序、检验包装区、成品仓库、废残次品仓库，共五个独立的工作部门。成立专门的管理领导小组（简称组）。有关秘密载体的印制工作：包括排版、制版、印刷、检验、包装入库均在封闭的生产场所进行，使用全国统一的票据防伪专用品，各工序均由管理领导小组指定专人负责。 1、公司专设印刷车间及室。涉及的印刷资料由印刷车间专门承印，并由组指定印刷人员专门负责，其他人员未经允许不得入。 2、室具备防盗、防火、防潮、防鼠功能；配备防盗门、窗；配备双锁、密码锁铁柜，用于存放资料。 3、承接印刷国家秘密载体业务时应由专职业务人员按照规定统一编号登记。不准随便互相转手，不准随便抄录或翻印秘密以上文件。 4、凡秘密业务，实行数字化管理，生产部下达红票。秘密印刷业务的原稿、样、打样纸必须数字准确，不得乱放或遗失。如果在生产过程中发现数字缺少，要及时查找并查明原因，同时立即向公司保卫部门报告。在找到丢失品前，有关人员不得离开工作场地，若一时无法找到，须经领导批准后方可离开。 5、车间、库房在下班前，必须将门室关好锁好，下班后一般不准随便打开工房门。

公司涉密风险评估报告

公司涉密风险评估报告 一、做好涉密风险评估的重要性 XXX是专门从事信息工程咨询和监理业务的企业，主要面向政府机关、行政事业单位及大型企业提供信息化建设咨询工作，并提供项目实施全过程监理。目前，信息化的应用越来越广泛，政府机关、行政企事业单位大量运用信息化技术和手段，改变原有工作方式及业务流程，极大的提高工作效率，更好的服务于社会。这些众多业务应用系统中或多或少会涉及到不同级别的秘密，因此，信息化下的涉密工作非常重要。对于我公司来说，如何在项目咨询过程，为用户提供的解决方案能够达到涉密的要求；在项目监理工作中，避免项目实施过程及系统运行产生漏洞，降低涉密风险；公司的工作人员如何遵守涉密制度和职业操守，避免因用户涉密信息泄露，这是我公司在涉密制度建设及相应涉密措施执行上，需要重点考虑解决的问题，是我公司涉密工作的重中之重。 二、涉密项目监理工作涉密重点 涉密信息系统工程建设过程中监理的作用主要体现在：发挥工程监理的咨询服务功能；发挥工程监理对工程项目的管理作用。对于前者，工程监理可以向建设方提供关于涉密信息系统工程建设准备和过程中相关的国家标准及规范提供咨询，也可以协助建设方完善安全涉密管理体系及相关制度的建设，为工程的测评、审批和运维打下坚实基础，同时也可为承建方在方案设计、涉密改造、系统检测测试、试

运行、验收等各阶段提供咨询，确保项目能够按时按质量完成。对于后者而言，由于涉密信息工程涉及的业务内容繁多，过程较长，一些不按要求进行工作从而引起一些不可预见的影响工程进度的情况出现，大大的增加了工程建设的复杂性。此时，工程监理的重要性就体现出来了，工程监理按照管理规范对涉密信息系统进行监督、控制和管理，严格按照施工流程控制，并规范过程文档，协调各组织的关系，及时发现、妥善处理施工过程中出现的问题就显的非常重要。 工程监理在涉密信息系统建设过程中，通过运用自身对国家相关涉密信息系统建设的管理规范和要求，能够保证工程的实施过程符合国家涉密信息系统分级保护设计方案及工程建设相关要求，能够快速发现和解决施工过程中承建单位不安管理规范进行的影响工程进度、质量的一系列行为。同时工程监理作为独立的第三方，有利于涉密工程项目依据国家涉密标准、信息系统工程相关标准以及工程建设合同等有关问题进行协调处理，避免与监理项目的承建单位存在隶属关系和利益关系，或作为其投资者或合伙经营者造成的不按照法律、科学、标准、经验、技术要求来办事的弊端。 工程监理在涉密信息系统工程建设中是不可或缺的一个重要角色，监理在工程建设中的作用，就好比化学反应中的催化剂，不仅可以很好的促进工程向更好的方向发展，同时也可以抑制其向不利于工程项目进展的方向发展。缺乏监理的情况下，就会不可避免的出现各种可能会影响工程进度、质量及安全的事件，在有监理的情况下，对于那些可预见的事件可以进行很好的预防。总之，工程监理在涉密信

风险评估报告模板

附件： 信息系统 信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日

目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)

5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)

保密风险评估报告()

保密风险评估报告 一、做好保密风险评估的重要性 众所周知，国家秘密一旦泄露，后果不堪设想。为切实有效地保护国家秘密．必须事先做好保密风险评估报告，让保密工作有的放矢。 随着现代科学技术的发展，信息化程度越来越高，保密工作已成为企业的中心工作之一。在信息化条件下，保密工作既是一项复杂的系统工程，同时也是关系到企业的正常工作是否能够顺利进行的重要因素。 保密风险评估是保密工作的重要组成部分。保密风险评估要坚持实事求是的原则，深入调查研究，全面掌握保密风险因素及其影响，进而科学分析企业保密工作面临的形势、存在的问题，在此基础上提出切实可行的关于风险防范控制措施的建议方案。 保密风险一词包括了两方面的内涵。其一，风险意味着会对企业正常的工作带来不良影响；其二，这种影响的出现与否是一种不确定性随机现象，它可用概率表示出现的可能程度，但不能对出现与否做出确定性判断。从而可知，风险因素、风险事故和影响密切相关，它们构成了企业保密风险存在与否的基本条件。因此，要真正领悟企业保密风险的本质，就必须弄清这三个概念及其相互联系。

导致对企业带来不良影响。 二、首先肯定已有的优良保密措施，并提示要更加自觉地做实做细，发扬光大。 1、保密室具备防盗、防火、防潮、防鼠功能；配备双锁、密码锁铁柜，用于存放保密资料。 2、工作在保密岗位上的人员是工作的需要、单位的重托，在一定时间一定范围内知悉的保密事项，只能用于生产，不能向外泄露，不得对外从事技术服务。必须妥善保管各种保密资料，不得丢失泄密，不在报刊杂志上报道保密事项，不得把秘密资料传送到QQ空间、微信朋友圈或微博等。 3、员工离开岗位，应将自己保管的保密资料上交，不得带走或留存。公司可以对其U盘等存储介质进行检查。 4、公司已经召开保密工作会议，对进一步开展保密工作做出全面部署。 5、公司设立专门的仓库，配置专职保管员，要求成品仓库的账簿应记录完整，详细真实，并妥善保管。建立健全秘密的管理制度，做好真实详细的记录，存档保管。 6、建立健全监控设施运行记录，对监控记录资料进行妥善保

系统集成项目保密风险评估报告

系统集成项目保密风险评估报告及防控措施 XXXXXX有限责任公司

目录 1、概述 (1) 1.1 风险评估的依据 (1) 1.2 评估的目的 (1) 2、常见风险评估及防控措施 (2) 2.1 参与涉密项目人员风险评估 (2) 2.1.1 可能存在的风险点 (2) 2.2.2 风险防控措施 (2) 2.2 涉密载体风险评估 (3) 2.2.1 可能存在的风险点 (3) 2.2.2 风险防控措施 (3) 2.3 涉密设备风险评估 (4) 2.3.1 可能存在的风险点 (5) 2.3.2 风险防控措施 (5) 2.4 涉密场所风险评估 (6) 2.4.1 可能存在的风险点 (6) 2.4.2 风险防控措施 (6) 3、涉密项目风险评估 (8) 3.1 招投标风险评估 (8) 3.1.1 可能存在的风险点 (8) 3.1.2 风险防控措施 (8) 3.2 设计方案风险评估 (9) 3.2.1 可能存在的风险点 (9) 3.2.2 风险防控措施 (9) 3.3 分包方案使用风险评估 (10) 3.3.1 可能存在的风险点 (10) 3.3.2 风险控制措施 (10)

3.4 设备采购风险评估 (10) 3.4.1 可能存在的风险点 (11) 3.4.2 风险控制措施 (11) 3.5 现场实施风险评估 (11) 3.5.1 可能存在的风险点 (11) 3.5.2 风险防控措施 (12) 3.6 审查验收风险评估 (12) 3.6.1 可能存在的风险点 (12) 3.6.2 风险防控措施 (13) 3.7 项目材料移交风险评估 (13) 3.7.1 可能存在的风险点 (13) 3.7.2 风险防控措施 (13) 3.8 运行维护风险评估 (13) 3.8.1 可能存在的风险点 (13) 3.8.2 风险防控措施 (14)

保密风险评估与管理制度汇编

保密风险评估与管理制度 第一条本制度规定了所采用的风险评估方法。通过识别信息资产、风险等级评估，认知公司的风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将风险控制在可接受的水平，保持公司业务持续性发展，以满足管理方针的要求。 第二条本制度适用于第一次完整的风险评估和定期的再评估。在辨识资产时，本着尽量细化的原则进行，但在评估时我司又会把资产按照系统进行规划。辨识与评估的重点是信息资产，不区分物理资产、软件和硬件。 第三条技术部负责牵头成立风险评估小组。 第四条风险评估小组每半年至少一次，或当体系、组织、业务、技术、环境等影响企业的重大事项发生变更、重大事故事件发生后，负责编制风险评估计划，确认评估结果，形成《风险评估报告》。 第五条各部门负责部门使用或管理的信息资产的识别和风险评估，并负责部门所涉及的信息资产的具体安全控制工作。 第六条各部门负责人负责部门的信息资产识别。技术部经理负责汇总、校对全公司的信息资产。 第七条技术部负责风险评估的策划。

第八条技术部牵头成立风险评估小组，小组成员至少应该包含：管理保密部门的成员、重要责任部门的成员。 第九条信息资产 1)软件：应用软件、系统软件和适用程序等。 2)硬件：计算机设备、通讯设备、可移动介质和其他设 备。 3)数据：数据库数据、系统文档、计划、报告、用户手 册、客户配置策略等 4)服务：培训服务、租赁服务、公用设施（能源、电力）。 5)文档：纸质的各种文件、传真、电报、财务报告、发 展计划等 6)人员：人员的资格、技能和经验。 7)其他：组织的声誉、商标、形象。 第十条本公司的资产范围包括： 系统文件、研究信息、用户手册、培训教材、培训操作、培训软件、支持性程序、业务连续性计划、应变安排、审核记录、审核的追踪、归档信息。 第十一条评估程序 本评估应考虑：范围、目的、时间、效果、组织文化、人员素质以及具体开展的程度等因素来确定，使之能够与组织的环境和安全要求相适应。 第十二条资产属性赋值

电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式

附件： 国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日

目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)

5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)

保密风险评估报告

保密风险评估报告 篇一：保密风险评估报告 保密风险评估报告 一、做好保密风险评估的重要性 我公司是专门的秘密载体印制企业，所以，保密工作是重中之重。众所周知，国家秘密一旦泄露，后果不堪设想。为切实有效地保护国家秘密．必须事先做好保密风险评估报告，让保密工作有的放矢。 随着现代科学技术的发展，信息化程度越来越高，保密工作已成为企业的中心工作之一。在信息化条件下，保密工作既是一项复杂的系统工程，同时也是关系到企业的正常工作是否能够顺利进行的重要因素。 保密风险评估是保密工作的重要组成部分。保密风险评估要坚持实事求是的原则，深入调查研究，全面掌握保密风险因素及其影响，进而科学分析企业保密工作面临的形势、存在的问题，在此基础上提出切实可行的关于风险防范控制措施的建议方案。 保密风险一词包括了两方面的内涵。其一，风险意味着会对企业正常的工作带来不良影响；其二，这种影响的出现与否是一种不确定性随机现象，它可用概率表示出现的可能程度，但不能对出现与否做出确定性判断。从而可知，风险因素、风险事故和影响密切相关，它们构成了企业保密风险存在与否的基本条件。因此，要真正领悟企业保密风险的本质，就必须弄清这三个概念及其相互联系。 简单概括而言：风险因素引起风险事故，风险事故导致对企业带来不良影响。 二、首先肯定已有的优良保密措施，并提示要更加自觉地做实做细，发扬光大。

在我公司，秘密载体生产场所实行全封闭管理，设置特营原辅料仓库、生产工序、检验包装区、成品仓库、废残次品仓库，共五个独立的工作部门。成立专门的保密管理领导小组（简称保密组）。有关秘密载体的印制工作：包括排版、制版、印刷、检验、包装入库均在封闭的生产场所内进行，使用全国统一的票据防伪专用品，各工序均由保密管理领导小组指定专人负责。 1、公司专设保密印刷车间及保密室。涉及保密的印刷资料由保密印刷车间专门承印，并由保密组指定印刷人员专门负责，其他人员未经允许不得入内。 2、保密室具备防盗、防火、防潮、防鼠功能；配备防盗门、窗；配备双锁、密码锁铁柜，用于存放保密资料。 3、承接印刷国家秘密载体业务时应由专职业务人员按照规定统一编号登记。不准随便互相转手，不准随便抄录或翻印秘密以上文件。 4、凡秘密业务，实行数字化管理，生产部下达红票。秘密印刷业务的原稿、样张、打样纸必须数字准确，不得乱放或遗失。如果在生产过程中发现数字缺少，要及时查找并查明原因，同时立即向公司保卫部门报告。在找到丢失品前，有关人员不得离开工作场地，若一时无法找到，须经领导批准后方可离开。 5、保密车间、库房在下班前，必须将门室关好锁好，下班后一般不准随便打开工房门。 6、工作在保密岗位上的人员是工作的需要、单位的重托，在一定时间一定范围内知悉的保密事项，只能用于生产，不能向外泄露，不得对外从事技术服务。必须妥善保管生产工艺、生产记录及其他各种保密资料，不得丢失泄密，不在报刊杂志上报道保密事项，不得把秘密资料传送到QQ空间、微信朋友圈或微博等。

风险评估报告

文件编号: 风险评估报告 version：1.0 编制人：日期: 审核人: 日期: 批准人日期: 受控状态：

目录 1.目的 (4) 2.适用范围 (4) 2.1风险评估的范围包括： (4) 2.2风险评估所涉及的业务活动包括： (4) 3.风险评估引用文件 (4) 3.1风险评估引用文件包括 (4) 4.风险评估程序及准则 (5) 4.1风险评估准备阶段： (5) 4.2资产清点阶段： (5) 4.3风险评估阶段 (6) 5.风险评估结果 (7) 5.1可接受及不可接受风险划分标准 (7) 5.2信息安全风险概况 (7) 5.3各部门详细风险概况 (8) 6.风险控制措施选择 (9)

1. 目的 本次风险评估是公司为建立信息安全管理体系所进行的初始风险评估，其目的通过系统地识别公司核心业务以及支持性业务所面临的风险，并根据风险评估准则，对不可接受的风险进行确定。 2. 适用范围 2.1风险评估的范围包括： 公司所属部门、子公司。 2.2 风险评估所涉及的业务活动包括： 2.2.1与公司核心业务相关的所有业务过程，包括： 软件外包服务 信息服务外包 软件设计与开发 系统解决方案设计与维护 2.2.2与公司支持性业务相关的所有业务过程，包括： 企业内部信息化管理过程 品质管理 财务与人力资源 IT网络服务 行政后勤 2.3风险评估时间 2008年4月12日至2008年5月13日。 3. 风险评估引用文件 3.1风险评估引用文件包括 1）ISO 27001：2005信息安全管理实施指南 2）ISO 27002:2005 信息安全管理体系规范 3）ISO 27001实施指南–风险评估与风险管理指南

公司保密风险评估报告47431

公司保密风险评估报告 一、做好保密风险评估的重要性 XXX是专门从事信息工程咨询和监理业务的企业，主要面向政府机关、行政事业单位及大型企业提供信息化建设咨询工作，并提供项目实施全过程监理。目前，信息化的应用越来越广泛，政府机关、行政企事业单位大量运用信息化技术和手段，改变原有工作方式及业务流程，极大的提高工作效率，更好的服务于社会。这些众多业务应用系统中或多或少会涉及到不同级别的秘密，因此，信息化下的保密工作非常重要。对于我公司来说，如何在项目咨询过程，为用户提供的解决方案能够达到保密的要求；在项目监理工作中，避免项目实施过程及系统运行产生漏洞，降低保密风险；公司的工作人员如何遵守保密制度和职业操守，避免因用户保密信息泄露，这是我公司在保密制度建设及相应保密措施执行上，需要重点考虑解决的问题，是我公司保密工作的重中之重。 二、涉密项目监理工作保密重点 涉密信息系统工程建设过程中监理的作用主要体现在：发挥工程监理的咨询服务功能；发挥工程监理对工程项目的管理作用。对于前者，工程监理可以向建设方提供关于涉密信息系统工程建设准备和过程中相关的国家标准及规范提供咨询，也可以协助建设方完善安全保密管理体系及相关制度的建设，为工程的测评、审批和运维打下坚实基础，同时也可为承建方在方案设计、涉密改造、系统检测测试、试

运行、验收等各阶段提供咨询，确保项目能够按时按质量完成。对于后者而言，由于涉密信息工程涉及的业务内容繁多，过程较长，一些不按要求进行工作从而引起一些不可预见的影响工程进度的情况出现，大大的增加了工程建设的复杂性。此时，工程监理的重要性就体现出来了，工程监理按照管理规范对涉密信息系统进行监督、控制和管理，严格按照施工流程控制，并规范过程文档，协调各组织的关系，及时发现、妥善处理施工过程中出现的问题就显的非常重要。 工程监理在涉密信息系统建设过程中，通过运用自身对国家相关涉密信息系统建设的管理规范和要求，能够保证工程的实施过程符合国家涉密信息系统分级保护设计方案及工程建设相关要求，能够快速发现和解决施工过程中承建单位不安管理规范进行的影响工程进度、质量的一系列行为。同时工程监理作为独立的第三方，有利于涉密工程项目依据国家保密标准、信息系统工程相关标准以及工程建设合同等有关问题进行协调处理，避免与监理项目的承建单位存在隶属关系和利益关系，或作为其投资者或合伙经营者造成的不按照法律、科学、标准、经验、技术要求来办事的弊端。 工程监理在涉密信息系统工程建设中是不可或缺的一个重要角色，监理在工程建设中的作用，就好比化学反应中的催化剂，不仅可以很好的促进工程向更好的方向发展，同时也可以抑制其向不利于工程项目进展的方向发展。缺乏监理的情况下，就会不可避免的出现各种可能会影响工程进度、质量及安全的事件，在有监理的情况下，对于那些可预见的事件可以进行很好的预防。总之，工程监理在涉密信

涉密计算机风险评估报告

涉密计算机风险评估报告 本次风险评估报告是根据公司保密委员会办公室2015年上半年对涉密计算机进行检查后的检查登记表、二级单位组织的包含涉密计算机自查自查登记表等相关资料做出的评估。 一、　检查情况分析 综合保密办检查情况和二级单位自查情况，对照今年下发的《涉密计算机单机安全保密策略》，经分析发现大部分涉密计算机单机安全保密策略得到了较好的执行，涉密计算机整体安全状况较好，具体表现在：物理安全防护基本到位：涉密计算机无上网记录，物理隔离被严格执行：涉密计算机注册表信息无更改过的痕迹，产生的记录都是安装应用软件时产生的：涉密讲算机上安装的金城数据安全软件运行正常，使用人员和数据的访问控制比较规范：涉密计算机上的软件装控制严格，在安装之前需审批。 二、　问题与面临的风险 这一次保密办检查和单位自查中也暴露出来不少问题，具体表现在：涉密计算机电源滤波防护措施还没有到位：个别涉密计算机硬盘内存储的涉密文件没有按规范的格式做密级标识：部分涉密计算机系统安全漏洞和病毒补丁程序没有及时打上：部分涉密计算机的本地安全策略没有设置到位：部分涉密计算机在安装软件之前没有将要安装的软件在非涉密中间转换机上进行病毒检测。 这些暴露出来的问题虽然都比较小，对涉密计算机安全造成的

风险也比较小，但是如果不及时加以解决，有可能酿成比较大的安全隐患，应引起我们的高度重视。 三、　今后应采取的针对性措施 针对这些暴露出来的问题，我们应采取以下针对性措施，并在2015年新版本的《涉密计算机单机安全保密策略》中加以体现，从而降低涉密计算机安全所面临的风险： 1、尽快为涉密计算机配备国家保密行政管理部门批准的滤波电 源插座。 2、明确责任人对涉密计算机硬盘内存储的涉密文件的密级标识 进行规范整理。 3、明确要求涉密计算机安装软件之前必须在非涉密中间转换机 上进行病毒检测。 4、加强对涉密计算机管理员的培训，使其熟练掌握涉密计算机 系统安全漏洞和病毒库补丁程序的下载、中间转换刻盘、安装 以及安全策略设置。 风险评估人： 年月日

保密风险评估与管理办法

保密风险评估与管理办法 一、总则 为及时识别、监控公司保密潜在风险及其发生概率，确定公司保密风险承受能力及限度，认定该等风险所可能带来的损失，根据《上海市涉密信息系统集成资质单位保密风险评估工作细则》和《涉密信息系统集成资质保密标准》结合公司实际，特制定本管理办法。 二、职责分工 1、公司保密风险评估与管理主管部门为风险管理部。 2、各部门、各经营单元协助风险管理部实施本管理办法。 3、公司各涉密经营单元是保密风险管理的第一道防线，负责本经营单元和公司内纵向归口管 理事项的保密风险管理工作。 4、公司保密风险评估工作小组（以下简称工作小组）是保密风险管理的第二道防线，接受保 密管理办公室的监督（以下简称保密办），负责指导和检查保密风险评估工作的开展。 5、公司保密工作领导小组（以下简称领导小组）是保密风险管理的第三道防线。作为保密风 险管理的决策机构，负责监督保密风险评估工作的开展，负责组织建立完善保密管理的持续改进机制。 三、工作内容及流程。 1、领导小组授权风险管理部组织成立工作小组。工作小组组长由分管保密工作的公司领导担 任，成员由保密办、风险管理部等部门负责人组成。领导小组应组织对评估过程中出现的问题和结果做分析和研究，查找出在保密管理的制度、流程和执行等方面的问题，组织对制度和流程进行修订和完善。 2、工作小组至少每半年开展一次保密风险评估，使用“上海市涉密信息系统集成资质保密风 险评估及自查自评系统”开展保密风险评估工作，按照业务流程对保密风险进行识别、分析和评估，评估的范围包括项目、人员、资产、场所等主要管理活动在保密方面所面临的威胁、存在的弱点、造成的影响，以及三者综合作用所带来风险的可能性的评估。 3、工作小组至少每年对《保密管理风险点识别及防控措施》评估一次，从人员风险、涉密载 体风险、涉密计算机、涉密场所、投标、项目实施等，对每个风险点进行低、中、高等级识别，制定相应的防范措施。 4、工作小组在评估过程中如发现问题，及时向领导小组汇报，《保密风险评估报告》形成后， 应向领导小组报告评估情况。向相关涉密经营单元和人员通报评估情况，监督防控措施

软件开发项目保密风险评估报告

软件开发项目保密风险 评估报告 编写人：XXX 2019年XX月XX日

目录 概述 (4) 1.1背景 (4) 1.2风险评估的依据 (5) 1.3风险评估的目的 (5) 1.4风险评估的措施 (6) 1.风险评估 (8) 2.1涉密人员风险评估 (8) 2.2涉密载体风险评估 (9) 2.3涉密设备风险评估 (11) 2.4涉密场所风险评估 (13) 2.5涉密项目风险评估 (14) 2.5.1招投标风险评估 (15) 2.5.2设计方案风险评估 (16) 2.5.3软件开发设计过程风险评估 (17) 2.5.3.1分保方案使用风险评估 (17) 2.5.3.2第三方软件采购风险评估 (18) 2.5.3.3项目实施风险评估 (18) 2.5.3.4审查验收风险评估 (19) 2.5.3.5项目材料移交风险评估 (20) 2.5.3.6运行维护风险评估 (20)

2.5.3.7项目流程图 (21) 2.持续性改进机制 (25) 3.风险评估小结 (29)

概述 1.1背景 ●公司发展历史及现状 XXX有限公司于xx年XX月注册成立。注册资金XX万元，公司员工XX 人。公司成立初期主要业务范围是以系统集成为主，最近两年，主营业务逐渐由系统集成向软件开发转变。 公司也在此期间取得了多项行业相资质： ISO9001：2000质量体系认证;信息系统集成三级资质；软件能力成熟度CMMI3认证，并具备海南省政府及海南省各市县级政府的供应商资格，还是中石化海南炼化和中海油东方石化等能源化工企业的合法供应商。目前公司现经营地址为xxx，拥有办公场地XXX多平方米，客户遍及政府安监、政府应急，生产制造，能源化工等各大行业和机构，现已成为一家有着深厚技术实力和良好合作支持,以软件开发，系统集成,智能工厂，IT外包等服务为主的综合性IT企业。 ●公司人员结构 公司注重团队建设和人才的培养，员工90%以上是本科以上文化程度，技术人员具备机电工程、建筑智能化工程、计算机系统集成、计算机网络应用、软件开发等所需的各种专业资质证书和从业证书，并且也取得国际认证的软、硬件工程师证书及各生产厂家认证的工程师证书。公司拥有已有认证的计算机信息系统集成项目经理8人，高级项目经理4人，均具有本行业多年从业经验，并参与了各种大型软件开发项目的设计与实施。公司的技术副总从业17年，独立完多项大型软件项目的设计开发及管理工作。 ●公司所在周边地理环境