This sample document provides some

This sample document provides some criteria to consider when you build a risk assessment security questionnaire. It is not an exhaustive list and should not be treated as such. The weight assigned to an individual question depends on your business needs. Every question in each category can be mapped to a numeric score value, and all scores are then added together to identify the bucket that the application belongs to.
On This Page
Introduction
Risk Assessment Questionnaire
Determine Your Security Impact Rating
Introduction
The following questions are designed to help determine the risk rating of line-of-business (LOB) applications. The application team completes this questionnaire to assist in the determination of the risk rating. You can arrange these questions in categories, such as Architecture or Data Classification.
Top of Page
Risk Assessment Questionnaire
Audience
• What type of user access does your application offer (internal, external [Internet-facing], both, or neither)?
_____________________________________________
• What is the basic authentication and authorization for the external-facing (Internet) portion of your application?
_____________________________________________
• Are there anonymous users?
_____________________________________________
• Is there a secure channel? What is that channel?
_____________________________________________
Data Classification
• What type of data is contained in your application?
_____________________________________________
• Does your application contain personal data?
_____________________________________________
• How business-sensitive is the data managed by your application?
_____________________________________________
Functionality
• What function does your application fulfill? How critical is its role?
_____________________________________________
Architecture
• What is the authentication mechanism used by the client population?
_____________________________________________
• Does your application have multiple user roles (for example, user and admin)?
_____________________________________________
• Is code executed on the client machine (for example, ActiveX control, assembly)?
_____________________________________________
• Where will your application be deployed?
_____________________________________________
Process Control
• What type of source control do you use for your application?
_____________________________________________
Privacy Release Issues
• Will the privacy statement or legal notice that was used in the existing application version change for this release? Is there a new privacy statement or legal notice available?
_____________________________________________
Security Release Issues
• Does this version include changes to the authentication mechanism?
_____________________________________________
• Does this web application or service provide functionality to other applications?
_____________________________________________
Top of Page
Determine Your Security Impact Rating
The risk assessment is a quick way to determine your security impact rating and to estimate the work required to be compliant. The rating (High, Medium, Low) represents the degree of risk your LOB application presents from a security perspective. You need to complete only the steps that apply to your rating. For more detail, see the Line-of-Business section in the main Microsoft Security Development Lifecycle document.
Each company needs to define risk for their business and industry.
Does this application handle personal information (employees, customers, business partners)?
Does this application handle business sensitive data?
Is this application key to providing a service or generating a product?
Is this application key to running the business (finances, for example)?
Who will have access to this application?
Top of Page
Content Disclaimer
This documentation is not an exhaustive reference on the SDL process as practiced at Microsoft. Additional assurance work may be performed by product teams (but not necessarily documented) at their discretion. As a result, this example should not be considered as the exact process that Microsoft follows to secure all products.
This documentation is provided “as-is.” Information and views expressed in this document, including URL and other Internet website references, may change without notice. You bear the risk of using it.
This documentation does not provide you with any legal rights to any intellectual property in any Microsoft product. You may copy and use this document for your internal, reference purposes.

ผลลัพธ์ (ไทย) 2:

เอกสารตัวอย่างนี้มีเกณฑ์ที่จะพิจารณาเมื่อคุณสร้างแบบสอบถามประเมินความเสี่ยงด้านความปลอดภัย มันไม่ได้เป็นรายการครบถ้วนสมบูรณ์และไม่ควรได้รับการปฏิบัติเช่นนี้ น้ำหนักได้รับมอบหมายให้เป็นคำถามที่แต่ละคนขึ้นอยู่กับความต้องการทางธุรกิจของคุณ คำถามในแต่ละประเภททุกคนสามารถแมปไปยังค่าคะแนนที่เป็นตัวเลขและคะแนนทั้งหมดจะถูกเพิ่มเข้ามาแล้วร่วมกันเพื่อระบุถังที่เป็นของโปรแกรม.
บนหน้านี้
เบื้องต้น
ประเมินความเสี่ยงแบบสอบถาม
ตรวจสอบการจัดอันดับผลกระทบต่อความปลอดภัยของคุณ
บทนำ
คำถามต่อไปนี้ถูกออกแบบมาเพื่อ ช่วยตรวจสอบจัดอันดับความเสี่ยงของสายของธุรกิจ (LOB) การใช้งาน ทีมงานแอพลิเคชันเสร็จสมบูรณ์แบบสอบถามนี้เพื่อช่วยในการกำหนดจัดอันดับความเสี่ยง คุณสามารถจัดเรียงคำถามเหล่านี้ในประเภทเช่นสถาปัตยกรรมหรือข้อมูลจำแนก.
ด้านบนของหน้า
แบบสอบถามประเมินความเสี่ยง
ผู้ชม
•อะไรชนิดของการเข้าถึงผู้ใช้ไม่ให้ใบสมัครของคุณ (ภายในภายนอก [Internet หันหน้า] ทั้งสองหรือไม่)
_____________________________________________
• การตรวจสอบเบื้องต้นคืออะไรและการอนุญาตสำหรับภายนอกหันหน้า (Internet) เป็นส่วนหนึ่งของโปรแกรมประยุกต์ของคุณ?
_____________________________________________
•จะมีผู้ใช้ที่ไม่ระบุชื่อ?
_____________________________________________
•มีช่องทางที่ปลอดภัย? เป็นช่องทางที่อะไร?
_____________________________________________
การจำแนกประเภทข้อมูล
•อะไรชนิดของข้อมูลที่มีอยู่ในใบสมัครของคุณ?
_____________________________________________
•ไมแอพลิเคชันของคุณมีข้อมูลส่วนบุคคล?
_____________________________________________
•วิธีทางธุรกิจที่มีความสำคัญเป็นข้อมูลที่ได้รับการจัดการโดยการประยุกต์ใช้ของคุณหรือไม่
_____________________________________________
การทำงาน
•อะไรฟังก์ชั่นที่ไม่ใช้งานของคุณ ตอบสนอง? วิธีที่สำคัญคือบทบาทของตนหรือไม่
_____________________________________________
สถาปัตยกรรม
•อะไรกลไกการตรวจสอบที่ใช้โดยประชากรของลูกค้าคืออะไร?
_____________________________________________
•ไม่ใช้งานของคุณมีบทบาทของผู้ใช้หลาย ๆ (ตัวอย่างเช่นผู้ใช้และผู้ดูแลระบบ)
_____________________________________________
•คือรหัสดำเนินการบนเครื่องไคลเอ็นต์ (ตัวอย่างเช่น , ควบคุม ActiveX ประกอบ)?
_____________________________________________
•ในกรณีที่แอพลิเคชันของคุณจะถูกนำไปใช้?
_____________________________________________
การควบคุมกระบวนการ
•ประเภทของการควบคุมแหล่งที่คุณใช้สำหรับงานของคุณ?
_____________________________________________
ความเป็นส่วนตัวที่วางจำหน่ายประเด็น
•จะประกาศความเป็นส่วนตัวหรือแจ้งให้ทราบทางกฎหมายที่ถูกนำมาใช้ในที่มีอยู่ การเปลี่ยนแปลงรุ่นแอพลิเคชันสำหรับรุ่นนี้? มีความเป็นส่วนตัวใหม่หรือแจ้งตามกฎหมายที่มีอยู่?
_____________________________________________
ประเด็นการรักษาความปลอดภัยที่วางจำหน่าย
•ไม่รุ่นนี้รวมถึงการเปลี่ยนแปลงกลไกการตรวจสอบหรือไม่
_____________________________________________
•ไม่ใช้งานในเว็บนี้หรือบริการให้การทำงานกับการใช้งานอื่น ๆ
_____________________________________________
ด้านบนของหน้า
ตรวจสอบการจัดอันดับผลกระทบต่อความปลอดภัยของคุณ
การประเมินความเสี่ยงเป็นวิธีที่รวดเร็วในการตรวจสอบคะแนนส่งผลกระทบต่อการรักษาความปลอดภัยของคุณและเพื่อประเมินการทำงานต้องเป็นไปตามมาตรฐาน การให้คะแนน (High, Medium, ต่ำ) แสดงให้เห็นถึงระดับของความเสี่ยงของคุณแอปพลิเคลอบนำเสนอจากมุมมองของการรักษาความปลอดภัย คุณจำเป็นต้องสมบูรณ์เพียงขั้นตอนที่นำไปใช้กับการประเมินของคุณ สำหรับรายละเอียดเพิ่มเติมโปรดดูที่ส่วนสายของธุรกิจในเอกสารหลักระยะเวลาการพัฒนาความปลอดภัยของ Microsoft.
แต่ละ บริษัท ต้องการที่จะกำหนดความเสี่ยงในการประกอบธุรกิจและอุตสาหกรรม.
ไม่โปรแกรมนี้จัดการข้อมูลส่วนบุคคล (พนักงานลูกค้าคู่ค้าทางธุรกิจ)
ไม่นี้ การประยุกต์ใช้ข้อมูลที่สำคัญทางธุรกิจที่จับ?
เป็นกุญแจสำคัญโปรแกรมนี้ในการให้บริการหรือการสร้างสินค้า?
เป็นกุญแจสำคัญโปรแกรมนี้เพื่อการดำเนินธุรกิจ (การเงินเช่น)?
ใครจะสามารถเข้าถึงโปรแกรมนี้?
ด้านบนของหน้า
เนื้อหาของ
เอกสารนี้เป็น ไม่ได้อ้างอิงครบถ้วนสมบูรณ์เกี่ยวกับกระบวนการ SDL เป็นไมโครซอฟท์ได้รับการฝึกฝน งานประกันเพิ่มเติมอาจจะดำเนินการโดยทีมงานผลิตภัณฑ์ (แต่ไม่จำเป็นต้องเป็นเอกสาร) ขึ้นอยู่กับดุลยพินิจของพวกเขา เป็นผลเช่นนี้ไม่ควรได้รับการพิจารณาเป็นขั้นตอนที่แน่นอนว่าไมโครซอฟท์ต่อไปนี้เพื่อความปลอดภัยของผลิตภัณฑ์ทั้งหมด.
เอกสารนี้มีให้ "ตามที่เป็น." ข้อมูลและมุมมองที่แสดงอยู่ในเอกสารนี้รวมทั้ง URL และการอ้างอิงเว็บไซต์อินเทอร์เน็ตอื่น ๆ อาจมีการเปลี่ยนแปลง โดยไม่ต้องแจ้งให้ทราบล่วงหน้า คุณมีความเสี่ยงของการใช้มัน.
เอกสารนี้ไม่ได้ช่วยให้คุณมีสิทธิตามกฎหมายใด ๆ ที่จะเป็นทรัพย์สินทางปัญญาใด ๆ ในผลิตภัณฑ์ใด ๆ ของไมโครซอฟท์ คุณสามารถทำสำเนาและใช้เอกสารนี้สำหรับภายในของคุณเพื่อการอ้างอิง