This sample document provides some

This sample document provides some criteria to consider when you build a risk assessment security questionnaire. It is not an exhaustive list and should not be treated as such. The weight assigned to an individual question depends on your business needs. Every question in each category can be mapped to a numeric score value, and all scores are then added together to identify the bucket that the application belongs to.
On This Page
Introduction
Risk Assessment Questionnaire
Determine Your Security Impact Rating
Introduction
The following questions are designed to help determine the risk rating of line-of-business (LOB) applications. The application team completes this questionnaire to assist in the determination of the risk rating. You can arrange these questions in categories, such as Architecture or Data Classification.
Top of Page
Risk Assessment Questionnaire
Audience
• What type of user access does your application offer (internal, external [Internet-facing], both, or neither)?
_____________________________________________
• What is the basic authentication and authorization for the external-facing (Internet) portion of your application?
_____________________________________________
• Are there anonymous users?
_____________________________________________
• Is there a secure channel? What is that channel?
_____________________________________________
Data Classification
• What type of data is contained in your application?
_____________________________________________
• Does your application contain personal data?
_____________________________________________
• How business-sensitive is the data managed by your application?
_____________________________________________
Functionality
• What function does your application fulfill? How critical is its role?
_____________________________________________
Architecture
• What is the authentication mechanism used by the client population?
_____________________________________________
• Does your application have multiple user roles (for example, user and admin)?
_____________________________________________
• Is code executed on the client machine (for example, ActiveX control, assembly)?
_____________________________________________
• Where will your application be deployed?
_____________________________________________
Process Control
• What type of source control do you use for your application?
_____________________________________________
Privacy Release Issues
• Will the privacy statement or legal notice that was used in the existing application version change for this release? Is there a new privacy statement or legal notice available?
_____________________________________________
Security Release Issues
• Does this version include changes to the authentication mechanism?
_____________________________________________
• Does this web application or service provide functionality to other applications?
_____________________________________________
Top of Page
Determine Your Security Impact Rating
The risk assessment is a quick way to determine your security impact rating and to estimate the work required to be compliant. The rating (High, Medium, Low) represents the degree of risk your LOB application presents from a security perspective. You need to complete only the steps that apply to your rating. For more detail, see the Line-of-Business section in the main Microsoft Security Development Lifecycle document.
Each company needs to define risk for their business and industry.
Does this application handle personal information (employees, customers, business partners)?
Does this application handle business sensitive data?
Is this application key to providing a service or generating a product?
Is this application key to running the business (finances, for example)?
Who will have access to this application?
Top of Page
Content Disclaimer
This documentation is not an exhaustive reference on the SDL process as practiced at Microsoft. Additional assurance work may be performed by product teams (but not necessarily documented) at their discretion. As a result, this example should not be considered as the exact process that Microsoft follows to secure all products.
This documentation is provided “as-is.” Information and views expressed in this document, including URL and other Internet website references, may change without notice. You bear the risk of using it.
This documentation does not provide you with any legal rights to any intellectual property in any Microsoft product. You may copy and use this document for your internal, reference purposes.

ผลลัพธ์ (ไทย) 1:

เอกสารตัวอย่างนี้ให้เกณฑ์บางอย่างที่ควรพิจารณาเมื่อคุณสร้างแบบสอบถามความปลอดภัยประเมินความเสี่ยง มันไม่ใช่รายการครบถ้วนสมบูรณ์ และไม่ควรรักษาเช่น น้ำหนักที่กำหนดให้กับคำถามแต่ละที่ขึ้นอยู่กับความต้องการของธุรกิจ ทุกคำถามในแต่ละประเภทสามารถแม็ปตัวเลขเป็นค่าคะแนน และคะแนนทั้งหมดจะเพิ่มเข้าด้วยกันเพื่อระบุกลุ่มที่อยู่ในโปรแกรมประยุกต์ได้ในหน้านี้แนะนำ แบบสอบถามการประเมินความเสี่ยง ตรวจสอบประเมินผลกระทบของความปลอดภัย แนะนำคำถามต่อไปนี้ถูกออกแบบมาเพื่อตรวจสอบการประเมินความเสี่ยงของโปรแกรมประยุกต์บรรทัดธุรกิจ (LOB) ทีมสมัครทำแบบสอบถามนี้เพื่อช่วยในเรื่องของการประเมินความเสี่ยง คุณสามารถจัดเรียงคำถามเหล่านี้ในหมวด สถาปัตยกรรมหรือจัดประเภทข้อมูลด้านบนของหน้าแบบสอบถามการประเมินความเสี่ยงผู้ชม•ชนิดของผู้ใช้ไม่มีโปรแกรมประยุกต์ของคุณ (ภายใน ภายนอก [อินเทอร์เน็ต], ทั้ง หรือไม่)_____________________________________________•รับรองความถูกต้องพื้นฐานและการตรวจสอบสำหรับส่วนเชื่อมต่อกับภายนอก (อินเทอร์เน็ต) ของโปรแกรมประยุกต์ของคุณคืออะไร_____________________________________________•มีผู้ใช้ที่ไม่ระบุชื่อหรือไม่_____________________________________________•มีช่องทางที่ปลอดภัยหรือไม่ สถานีคืออะไร_____________________________________________จัดประเภทข้อมูล•ชนิดของข้อมูลที่อยู่ในโปรแกรมประยุกต์ของคุณหรือไม่_____________________________________________•โปรแกรมประยุกต์ของคุณไม่ประกอบด้วยข้อมูลส่วนบุคคลหรือไม่_____________________________________________•วิธีธุรกิจสำคัญคือ ข้อมูลที่ถูกจัดการ โดยโปรแกรมประยุกต์ของคุณ_____________________________________________ฟังก์ชันการทำงาน•ที่ทำงานไม่ปฏิบัติตามโปรแกรมประยุกต์ของคุณหรือไม่ วิธีสำคัญคือบทบาทของ_____________________________________________สถาปัตยกรรม•กลไกการรับรองความถูกต้องที่ใช้ โดยไคลเอนต์ประชากรคืออะไร_____________________________________________•ไม่โปรแกรมประยุกต์ของคุณมีหลายบทบาทผู้ใช้ (ตัวอย่าง ผู้ใช้และผู้ดูแลระบบ)_____________________________________________•รหัสดำเนินการ (ตัวอย่าง ตัวควบคุม ActiveX ประกอบ)_____________________________________________•ในการที่จะประยุกต์การใช้งานหรือไม่_____________________________________________การควบคุมกระบวนการ•คุณใช้สำหรับโปรแกรมประยุกต์ของตัวควบคุมแหล่งข้อมูลชนิดใด_____________________________________________ปัญหาออกเป็นส่วนตัว•จะบุคคลหรือประกาศตามกฎหมายที่ใช้ในการเปลี่ยนแปลงรุ่นโปรแกรมประยุกต์ที่มีอยู่สำหรับรุ่นนี้ หรือไม่ ได้มีบุคคลใหม่หรือประกาศทางกฎหมายหรือไม่_____________________________________________ปัญหาด้านความปลอดภัยออก•รุ่นนี้ไม่มีการเปลี่ยนแปลงกลไกการรับรองความถูกต้องหรือไม่_____________________________________________•ไม่สมัครเว็บนี้ หรือบริการให้ทำงานกับโปรแกรมประยุกต์อื่น_____________________________________________ด้านบนของหน้าตรวจสอบประเมินผลกระทบของความปลอดภัยการประเมินความเสี่ยงเป็นวิธีรวดเร็ว เพื่อตรวจสอบการจัดอันดับความปลอดภัยผลกระทบ และ การประเมินงานที่จำเป็นต้องสอดคล้องกับ จัดอันดับ (สูง ปานกลาง ต่ำ) แสดงถึงระดับของความเสี่ยงที่แสดงโปรแกรมประยุกต์ของคุณ LOB จาก คุณจำเป็นต้องทำเฉพาะขั้นตอนที่ใช้กับการจัดอันดับ สำหรับรายละเอียดเพิ่มเติม ดูส่วนบรรทัดของธุรกิจในเอกสาร Microsoft ความปลอดภัยพัฒนาวงจรหลักแต่ละบริษัทต้องกำหนดความเสี่ยงทางธุรกิจและอุตสาหกรรมโปรแกรมประยุกต์นี้จัดการข้อมูลส่วนบุคคล (พนักงาน ลูกค้า คู่ค้าทางธุรกิจ) หรือไม่โปรแกรมประยุกต์นี้จัดการกับข้อมูลสำคัญทางธุรกิจคีย์แอพลิเคชันนี้เพื่อให้บริการ หรือการสร้างผลิตภัณฑ์หรือไม่คีย์นี้ใช้เพื่อธุรกิจ (เงิน ตัวอย่าง)ที่จะสามารถเข้าถึงโปรแกรมประยุกต์นี้ด้านบนของหน้าสงวนสิทธิ์เนื้อหาเอกสารนี้ไม่ใช่การอ้างอิงที่ครบถ้วนสมบูรณ์ในการ SDL เป็นที่ Microsoft ทำประกันเพิ่มเติมอาจจะดำเนินการ โดยทีมงานผลิตภัณฑ์ (แต่ไม่จำเป็นต้องจัดทำเอกสาร) ในการพิจารณา ดังนั้น อย่างนี้ไม่ควรเป็นกระบวนการแน่นอน Microsoft ดังต่อไปนี้เพื่อจองสินค้าทั้งหมดเอกสารนี้ไว้ "เป็น-อยู่" ข้อมูลและมุมมองที่แสดงในเอกสารนี้ รวมถึง URL และการอ้างอิงอื่น ๆ เว็บไซต์อินเทอร์เน็ต อาจเปลี่ยนแปลงโดยไม่แจ้งล่วงหน้า คุณแบกรับความเสี่ยงจากการใช้เอกสารนี้ไม่มีสิทธิใด ๆ ตามกฎหมายทรัพย์สินทางปัญญาในผลิตภัณฑ์ของ Microsoft คุณสามารถทำสำเนา และใช้เอกสารนี้ภายใน ข้อมูลอ้างอิงได้

ผลลัพธ์ (ไทย) 2:

เอกสารตัวอย่างนี้มีเกณฑ์ที่จะพิจารณาเมื่อคุณสร้างแบบสอบถามประเมินความเสี่ยงด้านความปลอดภัย มันไม่ได้เป็นรายการครบถ้วนสมบูรณ์และไม่ควรได้รับการปฏิบัติเช่นนี้ น้ำหนักได้รับมอบหมายให้เป็นคำถามที่แต่ละคนขึ้นอยู่กับความต้องการทางธุรกิจของคุณ คำถามในแต่ละประเภททุกคนสามารถแมปไปยังค่าคะแนนที่เป็นตัวเลขและคะแนนทั้งหมดจะถูกเพิ่มเข้ามาแล้วร่วมกันเพื่อระบุถังที่เป็นของโปรแกรม.
บนหน้านี้
เบื้องต้น
ประเมินความเสี่ยงแบบสอบถาม
ตรวจสอบการจัดอันดับผลกระทบต่อความปลอดภัยของคุณ
บทนำ
คำถามต่อไปนี้ถูกออกแบบมาเพื่อ ช่วยตรวจสอบจัดอันดับความเสี่ยงของสายของธุรกิจ (LOB) การใช้งาน ทีมงานแอพลิเคชันเสร็จสมบูรณ์แบบสอบถามนี้เพื่อช่วยในการกำหนดจัดอันดับความเสี่ยง คุณสามารถจัดเรียงคำถามเหล่านี้ในประเภทเช่นสถาปัตยกรรมหรือข้อมูลจำแนก.
ด้านบนของหน้า
แบบสอบถามประเมินความเสี่ยง
ผู้ชม
•อะไรชนิดของการเข้าถึงผู้ใช้ไม่ให้ใบสมัครของคุณ (ภายในภายนอก [Internet หันหน้า] ทั้งสองหรือไม่)
_____________________________________________
• การตรวจสอบเบื้องต้นคืออะไรและการอนุญาตสำหรับภายนอกหันหน้า (Internet) เป็นส่วนหนึ่งของโปรแกรมประยุกต์ของคุณ?
_____________________________________________
•จะมีผู้ใช้ที่ไม่ระบุชื่อ?
_____________________________________________
•มีช่องทางที่ปลอดภัย? เป็นช่องทางที่อะไร?
_____________________________________________
การจำแนกประเภทข้อมูล
•อะไรชนิดของข้อมูลที่มีอยู่ในใบสมัครของคุณ?
_____________________________________________
•ไมแอพลิเคชันของคุณมีข้อมูลส่วนบุคคล?
_____________________________________________
•วิธีทางธุรกิจที่มีความสำคัญเป็นข้อมูลที่ได้รับการจัดการโดยการประยุกต์ใช้ของคุณหรือไม่
_____________________________________________
การทำงาน
•อะไรฟังก์ชั่นที่ไม่ใช้งานของคุณ ตอบสนอง? วิธีที่สำคัญคือบทบาทของตนหรือไม่
_____________________________________________
สถาปัตยกรรม
•อะไรกลไกการตรวจสอบที่ใช้โดยประชากรของลูกค้าคืออะไร?
_____________________________________________
•ไม่ใช้งานของคุณมีบทบาทของผู้ใช้หลาย ๆ (ตัวอย่างเช่นผู้ใช้และผู้ดูแลระบบ)
_____________________________________________
•คือรหัสดำเนินการบนเครื่องไคลเอ็นต์ (ตัวอย่างเช่น , ควบคุม ActiveX ประกอบ)?
_____________________________________________
•ในกรณีที่แอพลิเคชันของคุณจะถูกนำไปใช้?
_____________________________________________
การควบคุมกระบวนการ
•ประเภทของการควบคุมแหล่งที่คุณใช้สำหรับงานของคุณ?
_____________________________________________
ความเป็นส่วนตัวที่วางจำหน่ายประเด็น
•จะประกาศความเป็นส่วนตัวหรือแจ้งให้ทราบทางกฎหมายที่ถูกนำมาใช้ในที่มีอยู่ การเปลี่ยนแปลงรุ่นแอพลิเคชันสำหรับรุ่นนี้? มีความเป็นส่วนตัวใหม่หรือแจ้งตามกฎหมายที่มีอยู่?
_____________________________________________
ประเด็นการรักษาความปลอดภัยที่วางจำหน่าย
•ไม่รุ่นนี้รวมถึงการเปลี่ยนแปลงกลไกการตรวจสอบหรือไม่
_____________________________________________
•ไม่ใช้งานในเว็บนี้หรือบริการให้การทำงานกับการใช้งานอื่น ๆ
_____________________________________________
ด้านบนของหน้า
ตรวจสอบการจัดอันดับผลกระทบต่อความปลอดภัยของคุณ
การประเมินความเสี่ยงเป็นวิธีที่รวดเร็วในการตรวจสอบคะแนนส่งผลกระทบต่อการรักษาความปลอดภัยของคุณและเพื่อประเมินการทำงานต้องเป็นไปตามมาตรฐาน การให้คะแนน (High, Medium, ต่ำ) แสดงให้เห็นถึงระดับของความเสี่ยงของคุณแอปพลิเคลอบนำเสนอจากมุมมองของการรักษาความปลอดภัย คุณจำเป็นต้องสมบูรณ์เพียงขั้นตอนที่นำไปใช้กับการประเมินของคุณ สำหรับรายละเอียดเพิ่มเติมโปรดดูที่ส่วนสายของธุรกิจในเอกสารหลักระยะเวลาการพัฒนาความปลอดภัยของ Microsoft.
แต่ละ บริษัท ต้องการที่จะกำหนดความเสี่ยงในการประกอบธุรกิจและอุตสาหกรรม.
ไม่โปรแกรมนี้จัดการข้อมูลส่วนบุคคล (พนักงานลูกค้าคู่ค้าทางธุรกิจ)
ไม่นี้ การประยุกต์ใช้ข้อมูลที่สำคัญทางธุรกิจที่จับ?
เป็นกุญแจสำคัญโปรแกรมนี้ในการให้บริการหรือการสร้างสินค้า?
เป็นกุญแจสำคัญโปรแกรมนี้เพื่อการดำเนินธุรกิจ (การเงินเช่น)?
ใครจะสามารถเข้าถึงโปรแกรมนี้?
ด้านบนของหน้า
เนื้อหาของ
เอกสารนี้เป็น ไม่ได้อ้างอิงครบถ้วนสมบูรณ์เกี่ยวกับกระบวนการ SDL เป็นไมโครซอฟท์ได้รับการฝึกฝน งานประกันเพิ่มเติมอาจจะดำเนินการโดยทีมงานผลิตภัณฑ์ (แต่ไม่จำเป็นต้องเป็นเอกสาร) ขึ้นอยู่กับดุลยพินิจของพวกเขา เป็นผลเช่นนี้ไม่ควรได้รับการพิจารณาเป็นขั้นตอนที่แน่นอนว่าไมโครซอฟท์ต่อไปนี้เพื่อความปลอดภัยของผลิตภัณฑ์ทั้งหมด.
เอกสารนี้มีให้ "ตามที่เป็น." ข้อมูลและมุมมองที่แสดงอยู่ในเอกสารนี้รวมทั้ง URL และการอ้างอิงเว็บไซต์อินเทอร์เน็ตอื่น ๆ อาจมีการเปลี่ยนแปลง โดยไม่ต้องแจ้งให้ทราบล่วงหน้า คุณมีความเสี่ยงของการใช้มัน.
เอกสารนี้ไม่ได้ช่วยให้คุณมีสิทธิตามกฎหมายใด ๆ ที่จะเป็นทรัพย์สินทางปัญญาใด ๆ ในผลิตภัณฑ์ใด ๆ ของไมโครซอฟท์ คุณสามารถทำสำเนาและใช้เอกสารนี้สำหรับภายในของคุณเพื่อการอ้างอิง