安全评估报告模板v正式版.docx

安全评估报告模板v正式版.docx

《安全评估报告模板v正式版.docx》由会员分享，可在线阅读，更多相关《安全评估报告模板v正式版.docx（25页珍藏版）》请在冰豆网上搜索。

安全评估报告模板v正式版

xxx

安全评估报告

文档时间：

2021/12/xx

安全评估方案简介

本次安全评估的对象为学校行政职能部门对外提供网络服务的所有主机（除去使用教育网段以外IP的部门产业处和成教、网络教育学院）。

评估过程主要分为以下几个步骤：

1、扫描工具扫描

在网络安全体系的建设中，安全扫描工具花费低，效果好，见效快，与网络的运行相对独立，安装运行简单，可以大规模减少安全管理员的手工劳动，有利于保持全网安全政策的统一和稳定，是进行风险分析的有力工具。

安全扫描技术基本上也可分为基于主机的和基于网络的两种，前者主要关注软件所在主机上的风险与漏洞，而后者则是通过网络远程探测其他主机的安全风险与漏洞。

利用扫描工具是为了使我们对校园网从结构上得到一个清晰的认识，便于我们确定每一台主机在网络中所处的位置，利于后面对他们所面临的威胁和压力进行具体的分析，针对他们所提供的各种服务提出相应的加固意见。

2、人工安全检查

系统扫描是利用安全评估工具对绝大多数评估范围内的主机，网络设备等方面进行漏洞的扫描。

但是，评估范围内的网络设备安全策略的弱点和部分主机的安全配置错误等并不能被扫描器全面发现，因此有必要对评估工具扫描范围之外的系统和设备进行手工检查。

3、渗透测试

渗透测试是指在获取用户授权后，通过真实模拟黑客使用的工具，分析方法来进行实际的漏洞发现和利用的安全测试方法。

这种测试方法可以非常有效的发现最严重的安全漏洞，尤其是与全面的代码审计相比，其使用的时间更短，也更有效率。

在测试过程中，我们将利用一些已知的漏洞信息在测试对象上加以验证，以确定测试对象是否存在此类漏洞。

并可以根据相应的漏洞发布时间、社会熟知程度等推断测试对象的安全管理水平，同时进行弱口令的验证。

通过对某些重点服务器进行准确，全面的测试，可以发现系统最脆弱的环节，以便对危害性严重的漏洞及时修补，以免后患。

4、压力测试和负载测试

使用LoadRunner（预测系统行为和性能的负载测试工具），通过以模拟大量用户实施并发负载及实时性能监测的方式来确认和查找网络服务器性能问题，LoadRunner能够对整个网络架构进行测试，压力测试只针对访问量较大的网站做测试。

在性能分析过程中，我们将采用多种手段对目标进行负载测试、强度测试和容量测试等。

对目标的抗攻击能力进行评级，未达到要求的给出改进意见。

5、安全策略评估

安全策略是对整个网络在安全方面，详细的策略性描述，它是目前改善整个校园网络安全的建设性意见和建议。

不同的网络需要不同的策略，它必须包括整个网络中与安全密切相关的问题，并确定相应的防护手段和实施办法，就是针对整个校园网络的一份相对可行的安全策略。

扫描工具扫描

系统层面

用端口扫描工具对xx（IP地址为xxx）网站所在主机进行端口扫描，如下图所示：

　　通过NMAP端口扫描工具进行穿墙突破扫描，由1-65535端口逐个进行探测。

Nmap报告：

经手工telnet验证端口开放情况，开放的端口有25，80，81，110，119，143，587，993，995，3389，8080，8888。

CGISCAN扫描得出目标主机操作系统及配置环境：

Web应用程序层面

渗透测试步骤

渗透测试流程

渗透测试流程图如下：

　　由于网站是内部开放，故流程图中某些步骤并未进行。

信息收集阶段

对所要测试的应用系统进行漏洞扫描，对扫描结果进行分析并发现潜在的安全风险。

信息分析阶段

分析扫描结果，对一些敏感信息进行整合，对网络拓扑情况进行分析，对所开放的服务进行排查，发现系统存在的安全漏洞，分析网络结构对可利用主机进行渗透，进一步提升权限，以达到控制网络目的。

模拟测试阶段

综合以上的信息收集和分析结果后，对所测试的应用系统开始进行模拟攻击，以下是针对该应用系统的攻击测试方式。

1）Nmap强行突破扫描、口令猜解

通过互联，发现XXXXXXX部分敏感信息。

2）Web服务器应用程序分析

通过对应用层程序辅助测试工具以及手工测试，在应用系统上，发现有网站配置原因导致的目录过滤不严网站及服务器敏感信息泄漏等现象。

详情请见风险描述。

测试结果记录

出现问题测试工具、参数、结果、原始记录及简要分析过程。

系统层面渗透测试：

Web应用程序层面渗透测试：

压力测试和负载测试

（需要经过申请，测试有可能会导致服务停止）

安全策略评估

漏洞总结和建议

通过对应用系统的渗透测试发现，该目标主机存在高风险的信息泄漏漏洞和一些系统环境配置方面的纰漏，恶意攻击者能够利用此漏洞控制当前应用系统，并能够进行添加，修改，删除等恶意操作。

建议：

对于系统层上的安全apachetomcat浏览任意web目录漏洞，建议对目录列表进行禁止设置；

对于wamp的探针index1.php进行删除；

对于系统后台地址建议进行更复杂的设置；

建议加强管理员的口令以及设置安全问题信息；

建议使用网站系统自带的data目录隐藏功能，提高网站安全性；

Apache,mysql,php版本偏低，建议升级；

关闭服务器不必要的端口和服务，使服务器在最小安全化下运行；

西南科技大学网络应急响应小组（SNERT）

2021年12月x日

附件：

西南科技大学xxxx安全评估报告

指导老师：

测评人员名单：

姓名

学院

班级

分工

兹此

证明

西南科技大学网络应急响应小组（SNERT）

2021年12月xx日

附测评人员行为准则：

为保证测试过程的规范、安全、高效、可靠，每一个参与测试的人员均应遵守以下规则：

（1）在我们的测试方案中，对测试行为、测试时间、测试地点均进行了约束，参测人员必须严格此方案执行。

严禁任何人擅自尝试测试方案中未规定的危险操作。

（2）对测试过程必须进行详细记录，便于日后查验。

（3）测试中，任何人发现的任何漏洞都必须上报并记录，严禁发现漏洞后隐瞒，严禁利用测试中发现的漏洞进行非法活动或谋取私利。

（4）所有参测人员必须严谨、细致地进行测试，并尽全力避免引起网络阻塞或服务器死机等严重问题。

附件

陕西省放射性同位素与射线装置应用单位

辐射安全年度评估报告

填报单位（盖章）

填报人

联系

填报日期年月日

填写说明

一、本表适用于我省辖区内的放射源和射线装置生产、销售、使用单位，此表一式3份，填写单位，发证环保部门、区县环保局各留一份。

二、评估报告提交材料要求使用A4纸打印或复印，加盖单位公章。

三、表格中涉及的内容必须填写完整，填写不全的要重新填报。

一、核技术利用工作单位联系方式

单位名称

单位地址

法定代表人

信息

姓名

职务

固定

移动

传真

辐射安全与防护管理机构及负责人信息

机构名称

负责人

姓名

职务

固定

移动

传真

专职辐射安全与防护管理人员（联系人）信息

姓名

职务

所在部门

学历

固定

移动

传真

电子信箱

通讯地址

邮编

二、辐射安全许可证信息

许可证号

环辐证[]

发证机关

发证日期

有效期至

活动种类

□生产□销售□使用

活动范围

放射源：

□Ⅰ类□Ⅱ类□Ⅲ类□Ⅳ类□Ⅴ类

非密封放射性物质：

□甲级□乙级□丙级

射线装置：

□Ⅰ类□Ⅱ类□Ⅲ类

工作场所

名称

地址

负责人

三、放射性同位素和射线装置、辐射工作人员、监测仪器情况汇总

放射源数量

Ⅰ类

Ⅱ类

Ⅲ类

Ⅳ类

Ⅴ类

合计

非密封放射性物质

工作场所等级

（在相应等级下打√）

甲级

乙级

丙级

丙级以下

射线装置数量

Ⅰ类

Ⅱ类

Ⅲ类

合计

辐射工作人员数量

总数

辐射安全与防护管理人员数

监测仪器

巡测仪台个人报警仪台其它台

四、放射性同位素和射线装置台账

放射源台帐

序号

核素

出厂日期

出厂活度（Bq）

标号

编码

类别

用途

场所

来源/去向

登记日期

登记人

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

四、放射性同位素和射线装置台账

非密封放射性物质台账

序号

核素

总活度

（Bq）

频次

用途

来源/去向

登记日期

登记人

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

四、放射性同位素和射线装置台账

射线装置台账

序号

装置名称

规格型号

类别

用途

场所

来源/去向

登记日期

登记人

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

来源

去向

五、辐射工作人员培训情况

序号

姓名

性别

出生日期

证件类型

号码

工作岗位

毕业学校

学历

专业

辐射安全与防护培训时间

培训证号

六、辐射工作人员职业健康检查情况

姓名

职业健康检查情况

体检部门

体检时间

检查结果（是否适宜从事辐射工作）

七、辐射安全与防护制度的建立、修订和执行情况

已制定的制度清单：

1、

修订完善的制度

八、辐射安全和防护设施设备的运行与维护情况（包括安全联锁装置、监控报警设施、工作指示信号、电离辐射警示标志、监测防护仪器和个人防护用品等）

九、辐射事故应急工作情况

十、新购源、废源收贮及报废射线装置情况

十一、事故记录、违纪记录（没有的填无）

注：

有事故应包括事故原因、类型和后果等。

违纪包括受到责令改正、行政处罚情况以及整改结果。

十二、信息化建设和档案管理

全国核技术利用单位申报

系统管理信息

管理员姓名

联系

注册用户名

电子邮箱

（申报系统）

具体信息档案管理措施：

十三、辐射安全隐患与整改情况

附件一：

辐射环境监测报告

（有辐射环境检测资质单位出具的监测报告）

附件二：

辐射工作人员培训证书

（环保部门开展的培训）

附件三：

个人剂量监测报告

质量风险评估报告

报告编号:

风险事件

责任人

发现部门

描述：

日期：

年月日

风险范围：

日期:

年月日

风险评估

风险项目

严重性

（S）

可能性

（P）

可发现性

（D）

RPN

（S×P×D）

备注

评定依据

严重性（S）

严重：

违反操作规程且会导致药品质量受到影响7—10分

中等：

违反操作规程可能导致药品质量受到影响4—6分

较小:

违反操作规程但不会导致药品质量受到影响1—3分

发生的可能性（P）

每批必然会发生10分;10批发生次数大于或等于1次8—10分

100批发生次数大于或等于1次5-7分

1000批发生次数大于或等于一次1-4分

可发现性（D）

无适当的检测控制方法10分；通过控制不太可能检测出危害或其影响7—10分;通过控制可能检测出危害或其影响4—6分；

通过控制很可能检测出危害或其影响1-3分

RPN（定量分级值）：

风险等级:

□≤70（低），□71-99（中），□≥100（高）

风险控制：

风险降低计划：

风险控制方案

相关部门

职责

审核意见

审核日期

备注:

低、中质量风险由相关部门经理审核批准;高质量风险需分管副总审核批准。

控制结果及评审：

风险控制结果：

风险控制结果评审:

相关部门

职责

意见

日期

备注：

低、中质量风险由质量部经理审核批准;高质量风险需分管副总审核批准。

安全生产评估报告

一、根据《施工企业安全生产评价标准》（JGJ/77—2021）的颁布实施，对施工企业安全生产条件、业绩及相应安全生产能力进行评价提供了科学依据，也给实现施工企业安全生产评价工作的规范化和制度化，促进施工企业安全生产管理水平和施工生产的本质安全程度的提高创造了条件。

我公司于10月至12月组织了全公司范围内的安全大检查，按照《标准》要求，对施工企业安全生产评价类别应包括企业自我评价、企业上级主管对企业进行评价、政府行政主管部门对企业进行评价、业主对企业进行评价四个类别。

也就是说除政府行政主管部门对企业进行评价外并不排斥施工企业上级主管和业主对企业进行评价及企业自我评价。

因此企业在施工生产过程中，应按照企业规章、生产与市场需求，定期进行企业安全现状评价，随时了解企业安全生产条件状况，对企业安全生产业绩进行动态监测。

通过对企业本期安全生产能力的总体评价，提出安全生产可持续改进措施意见，以指导企业下期安全生产，真正体现安全管理的预见性，达到事先预防控制的目的，实现安全的动态管理：

二、安全评估过程一般包括评价资料准备、施工现场评价、出具评价报告主要步骤。

1．评价资料准备建立企业申请安全评价的资料文件清单，汇总装订成册，在接受评价时应及时递交。

文件清单中主要项目包括：

（1）企业概述；

（2）企业营业执照、资质证书、安全生产许可证复印件；

（3）企业本期生产经营活动情况说明；

（4）企业本期安全生产自我评价报告（评价表采用《施工企业安全生产评价标准》（JGJ／T77—2021）附录A、附录B、附录C中规定的表格）；

（5）企业安全生产管理文件，具体包括：

①企业现行有效文件清单目录；

②安全生产责任制度文本，包括：

安全生产管理机构设置规定，各级各类人员安全生产岗位职责，安全管理目标、指标和管理方案，奖惩考核制度等；

③安全生产规章制度文本，包括：

资金保障，教育培训，安全检查，事故报告和处理等；

④安全生产管理规定文本，包括：

技术管理，设备管理，安全生产操作规程，分包单位资质和人员资格，供应单位、安全设施和防护、特种设备、安全检查测试工具等企业管理规定或形成职业健康安全管理体系文件中的“程序文件”、“作业指导书”等；

（6）企业建立的重大危险源清单，并提供企业危险源辨识、评价记录；

（7）企业审批的施工组织设计、专项安全技术方案1～3份（企业备份，评价后返还）；

（8）企业本期安全生产事故档案、事故报表；

（9）企业安全生产业绩统计表及相关证书、文件的复印件等。

2．施工现场评价结合现行的《建筑施工安全检查标准》（JCJ59-2021）和国标《职业健康安全管理体系规范》（GB／T28001-2001），按照《标准》中规定安全生产条件评价项中的20个评分项目和安全生产业绩中的4个评分项目进行整合，重点对以下13项进行施工现场审查、评价。

（1）安全管理控制目标企业的安全管理目标必须有正式文件和传阅记录，项目的安全管理目标必须有上级部门审批和传阅记录。

（2）安全生产管理制度企业的安全生产管理制度必须是受控文件，且有传阅记录，项目的安全生产管理制度必须有经过上级部门审批和项目发放记录。

（3）安全生产责任制责任制内容必须明确各自工作范围的安全责任和安全管理目标的分解执行，不得逾越各自管理权限。

结合各自安全生产职责，企业和项目要分别成立安全生产领导小组，同时编制安全生产管理网络图。

同时应定期进行安全生产责任制执行情况考核。

（4）安全生产资金保障企业按照建立安全生产资金保障制度制定年度资金计划，保留落实资金的各种单据备查；项目将实际发生费用汇总报公司，现场留存单据。

企业和项目填写安全生产、文明施工资金预算表和统计表，应相互对应。

费用范围参照即将施行的《建筑工程安全防护、文明施工措施费用及使用管理规定》。

（5）安全教育与培训企业定期对各部门和员工进行安全教育、培训，项目对全体人员分工种、分部、分项、分季节进行安全教育、培训，尤其危险源应有单独教育记录。

同时要求被教育人员签名，不得伪造代签。

核查项目建立职工劳动保护教育卡、安全员及特殊工种人员、中小型机械作业人员名册（复印件附后），节前节后安全教育记录、新进场工人教育记录、安全教育记录（定期月或季度）、班前安全活动、安全周讲评记录。

（6）安全用品采购安全用品包括安全帽、安全网、安全带、漏电开关、配电箱、限位装置、保险装置、五芯电缆、钢管、扣件、起重绳、活动房等。

企业或项目分包单位采购安全用品时，必须在企业合格供应商目录中选择地方行业管理部门认定的合格产品；采购时应收集提供安全用品的质保书、合格证等质量证明材料和供应商的生产许可证、营业执照等证明文件，并将其附在安全用品采购验收资料表上。

（7）分包管理核查企业以受控文件方式公布合格分包方名录，分包方安全生产能力评价记录、项目与分包方签订的安全管理协议书、分包方的安全职责和落实情况资料、分包方开展安全活动资料等。

（8）施工过程控制核查施工过程中的基础、主体、装饰等分部，土方、桩基、脚手架、模板、钢筋、砼、塔吊装拆、物料提升机装拆、外用电梯装拆、砌筑抹灰、墙面石材、人工拆除、防水等分项，电工、电焊工、气焊工、起重工、木工、钢筋工、砼工、瓦工等工种的安全技术交底。

交底双方必须签字确认，不得伪造代签。

有分包的还要核查总包对分包进场安全总交底。

核查现场安全设施移交表、三级动火许可证及模板、外架、塔吊、外用电梯、物料提升机拆除申请表等资料。

（9）危险源控制企业应对危险源识别、评价，对重大危险源进行控制、策划、建档，制定针对性应急预案（含重大危险源控制清单和检查记录）。

施工组织设计必须经过上级部门审批发放。

其内容包含专项安全技术措施、危险源认定和预防控制措施，并对涉及人员进行组织设计安全交底。

（10）事故应急救援编制应急救援计划（含高处坠落、物体打击、机械伤害、触电、坍塌、重大意外事故、火灾、中毒中暑等），内容涵盖可能发生的原因和造成的后果、组织机构和职责分工、报告程序、处理程序、应急物资准备及设施、人员基本救治方法、事故调查处理建议等。

对应急救援预案演练和评价记录表进行核查。

（11）安全检查和纠正措施按照提供的公司和项目安全检查汇总表，核查公司和项目安全检查日记、安全检查记录，包括行业管理部门或项目上级单位对现场的安全检查记录。

项目检查类型应包括：

定期安全检查、专项（施工用电、大型起重机械、特殊类脚手架、防暑降温等）安全检查、季节性、节假日前后等。

同时对应核查隐患整改通知书、安全检查罚款通知书。

其他需核查的项目安全检查资料有扣件式钢管脚手架、悬挑架、提升架验收单；模板支撑系统验收单（含计算书）；井架（龙门架）搭设、落地操作平台验收单；施工现场临时用电的接地电阻测试、移动手持电动工具、电工巡视验收单；施工机具验收单；基坑支护验收及监测记录；洞口临边防护验收记录等。

（12）安全改进企业和项目安全生产领导小组应定期召开会议，总结和执行安全生产自我评估。

现场核查安全会议记录、安全自我评估报告、安全整改汇总和纠正措施执行回复等资料。

（13）安全资料收集企业和项目应建立适用的职业健康安全管理法律法规和其他要求清单，定期评价更新。

要保证对新颁布发行的国家安全生产法律法规、职业病防治、行业规章制度、地方主管部门颁发的规章制度、安全技术规范标准和安全操作规程等及时获取的有效渠道。

安全资料分类装订，统一格式，需签字部分不得代签。

3．出具评价报告下面按某公司年度自我安全评价的具体案例进行说明。

（1）封面：

某公司年度自我安全评价报告书，编写人、审核人、批准人签名。

（2）安全评价说明

2．1评价依据、评价组成员及工作计划等。

根据《建设