风险评估材料修订记录

通过对风险评估材料存在的问题进行梳理，并针对存在的问题对所需材料清单进行修订。

风险评估材料模板修订记录

• 准备阶段材料
  • 00系统调研报告模板
  • 00管理调研报告模板
    • 新增
  • 00风险评估方案模板
    • 修改
    • 2.1 评估依据
      • 国际标准
        • ISO 27701 隐私信息管理的扩展 - 要求和指南
      • 国内标准
        • YDT 3801-2020 电信网和互联网数据安全风险评估实施方法
    • 2.2 评估目的
      • 新增
    • 2.7 风险性评估过程
      • 2.8.1标题改为基础信息调研
        • 将系统调研下调到2.8.1.1
        • 增加2.8.1.2 管理调研
          • 新增
      • 2.8.2 资产识别
        • 细化资产分类
          • 修改
• 风险评估过程文档
  • 01-资产清单表模板
    • 新增字段“资产子类”
    • 新增字段“所属部门”
    • 新增字段“资产重要性”
    • 修改
  • 02-威胁清单表模板
  • 03-脆弱性清单表模板
    • 修改
    • 新增“是否进行验证”
      • 是
      • 否
  • 04-已有安全措施清单表模板
    • 将“分类”字段改为“安全措施类型”
      • 新增“数据安全”部分内容
    • 新增“功能描述”字段
    • 新增“改进意见”字段
  • 06-风险处置计划表模板
    • 新增“责任人字段”
    • 新增“联系方式”字段
    • 新增“责任部门”字段
• 风险评估规范模板
  • 9 风险评估过程
    • 9.1 风险评估规范
      • 新增管理调研部分内容
    • 9.2 资产评估
      • 风险识别进行分类
        • 修改
• 风险评估报告模板
  • 5脆弱性识别与分析
    • 5.11评估方法
      • 新增“策略分析”方法
      • 新增“安全审计”方法
      • 新增
        • 建议管理调研一起
  • 9 总结
    • 技术层面
      • 新增内容编写说明及示例
    • 管理层面
      • 新增内容编写说明及示例
    • 修改
• 准备材料时：补充机房管理制度，容灾、备份、应急预案，IT系统管理制度、上线流程等
• 缺少管理层面评估材料
• 风险评估总结缺少具体问题和措施
• 原来的资产描述较简单，建议补充，并将要求的资产包含在内
• 风险评估过程中缺少管理层面评估过程文档（人员、制度等）