信息安全風(fēng)險識別與評價管理程序-文庫吧
2025-04-03 04:41 本頁面
【正文】 信息，公用的信息處理設(shè)備和系統(tǒng)資源等 完整性賦值根據(jù)資產(chǎn)在完整性上的不同要求，將其分為五個不同的等級，分別對應(yīng)資產(chǎn)在完整性上缺失時對整個組織的影響。表3 提供了一種完整性賦值的參考。表3 資產(chǎn)完整性賦值表賦值標(biāo)識定義5很高完整性價值非常關(guān)鍵，未經(jīng)授權(quán)的修改或破壞會對組織造成重大的或無法接受的影響，對業(yè)務(wù)沖擊重大，并可能造成嚴(yán)重的業(yè)務(wù)中斷，難以彌補4高完整性價值較高，未經(jīng)授權(quán)的修改或破壞會對組織造成重大影響，對業(yè)務(wù)沖擊嚴(yán)重，較難彌補3中等完整性價值中等，未經(jīng)授權(quán)的修改或破壞會對組織造成影響，對業(yè)務(wù)沖擊明顯，但可以彌補2低完整性價值較低，未經(jīng)授權(quán)的修改或破壞會對組織造成輕微影響，對業(yè)務(wù)沖擊輕微，容易彌補1較低很低完整性價值非常低，未經(jīng)授權(quán)的修改或破壞對組織造成的影響可以忽略，對業(yè)務(wù)沖擊及小 可用性賦值根據(jù)資產(chǎn)在可用性上的不同要求，將其分為五個不同的等級，分別對應(yīng)資產(chǎn)在可用性上應(yīng)達(dá)成的不同程度。表4 提供了一種可用性賦值的參考。表4 資產(chǎn)可用性賦值表賦值標(biāo)識定義5很高可用性價值非常高，%以上，或系統(tǒng)不允許中斷4高可用性價值較高，合法使用者對信息及信息系統(tǒng)的可用度達(dá)到每天90%以上，或系統(tǒng)允許中斷時間小于10min3中等可用性價值中等，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時間達(dá)到70%以上，或系統(tǒng)允許中斷時間小于30min2低可用性價值較低，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時間達(dá)到25%以上，或系統(tǒng)允許中斷時間小于60min1很低可用性價值可以忽略，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時間低于25% 合規(guī)性賦值根據(jù)資產(chǎn)在法律、法規(guī)、上級規(guī)定、合同協(xié)議符合性上的不同要求，將其分為五個不同的等級，分別對應(yīng)資產(chǎn)在符合法律、法律、上級規(guī)定、合同協(xié)議的不同程度。表5 資產(chǎn)合規(guī)性賦值表賦值標(biāo)識定義 5很高嚴(yán)重不符合信息安全管理休系要求，對組織造成無法接受的影響，對業(yè)務(wù)沖擊重大，并可能造成嚴(yán)重的業(yè)務(wù)中斷，難以彌補。4高不符合信息安全管理體系要求，對組織造成重大影響，對業(yè)務(wù)沖擊嚴(yán)重，較難彌補。3中等與信息安全管理體系具體要求有沖突，對組織造成影響，對業(yè)務(wù)沖擊明顯，但可以彌補。2低與信息安全管理體系具體條款要求存在輕微的不符合，對組織造成輕微影響，對業(yè)務(wù)沖擊輕微，容易彌補。1很低符合信息安全管理體系要求，但需持續(xù)改進，對組織造成的影響可以忽略，對業(yè)務(wù)沖擊及小。 資產(chǎn)重要性等級資產(chǎn)價值應(yīng)依據(jù)資產(chǎn)在保密性、完整性和可用性上的賦值等級，經(jīng)過綜合評定得出。綜合評定方法可以根據(jù)自身的特點，選擇對資產(chǎn)保密性、完整性和可用性最為重要的一個屬性的賦值等級作為資產(chǎn)的最終賦值結(jié)果；也可以根據(jù)資產(chǎn)保密性、完整性和可用性的不同等級對其賦值進行加權(quán)計算得到資產(chǎn)的最終賦值結(jié)果。加權(quán)方法可根據(jù)組織的業(yè)務(wù)特點確定。本標(biāo)準(zhǔn)中，為與上述安全屬性的賦值相對應(yīng)，根據(jù)最終賦值將資產(chǎn)劃分為五級，級別越高表示資產(chǎn)越重要，3級以及3級以上為重要資產(chǎn)，3級以下為非重要資產(chǎn)，并以此形成《信息資產(chǎn)清單》。表6 中的資產(chǎn)等級劃分表明了不同等級的重要性的綜合描述。評估者可根據(jù)資產(chǎn)賦值結(jié)果，確定重要資產(chǎn)的范圍，并主要圍繞重要資產(chǎn)進行下一步的風(fēng)險評估。資產(chǎn)價值=C*I*A*H表6 資產(chǎn)等級及含義描述等級標(biāo)識描述5很高非常重要，其安全屬性破壞后可能對組織造成非常嚴(yán)重的損失4高重要，其安全屬性破壞后可能對組織造成比較嚴(yán)重的損失3中等比較重要，其安全屬性破壞后可能對組織造成中等程度的損失2低不太重要，其安全屬性破壞后可能對組織造成較低的損失1很低不重要，其安全屬性破壞后對組織造成導(dǎo)很小的損失，甚至忽略不計 資產(chǎn)價值等級劃分資產(chǎn)值125265556175176395396625資產(chǎn)等級12345 威脅識別 威脅分類威脅可以通過威脅主體、資源、動機
公司管理相關(guān)推薦
鄂ICP備17016276號-1