215215215術有限公司信息安全風險評估管理辦法(已修改)
2025-04-26 10:55 本頁面
【正文】 . . . .**信息安全風險評估管理辦法目錄1 總則 32 組織與責任 33 信息安全風險評估規(guī)定 3 弱點分析 3 概述 3 弱點檢查 3 弱點賦值 5 威脅分析 5 概述 5 威脅來源分析 5 威脅種類分析 6 威脅賦值 7 風險計算 8 概述 8 風險計算 8 風險處置 9 概述 9 風險處置方法 9 風險處置流程 10 IT需求評估決策流程 164 獎懲管理規(guī)定 165 附則 166 附錄一：安全檢查申請單 177 附錄二：安全檢查方案模版 198 附錄三：風險處置計劃表 21 1 總則為確保**網(wǎng)絡及信息系統(tǒng)安全、高效、可控的運行，提高業(yè)務系統(tǒng)安全運行能力，全面降低信息安全風險，特制定本管理辦法。2 組織與責任信息安全管理組負責信息安全風險評估的具體實施。技術支撐部門協(xié)助信息安全管理執(zhí)行組的信息安全風險評估工作，并且實施信息安全管理執(zhí)行組通過風險評估后提供的解決方案與建議。其他部門協(xié)助信息安全管理執(zhí)行組開展信息安全風險評估工作。3 信息安全風險評估規(guī)定 弱點分析 概述弱點評估是安全風險評估中最主要的內容。弱點是信息資產(chǎn)本身存在的，它可以被威脅利用、引起資產(chǎn)或商業(yè)目標的損害。弱點包括物理環(huán)境、組織、過程、人員、管理、配置、硬件、軟件和信息等各種資產(chǎn)的弱點。 弱點檢查信息安全管理組應定期對集團IT系統(tǒng)進行全面的信息安全弱點檢查，了解各IT系統(tǒng)的信息安全現(xiàn)狀。IT系統(tǒng)安全檢查的范圍包括：主機系統(tǒng)、網(wǎng)絡設備、安全設備、數(shù)據(jù)庫系統(tǒng)、應用系統(tǒng)、郵件系統(tǒng)以及其它在用系統(tǒng)。IT系統(tǒng)安全檢查的工具與方法如下：1. 工具檢查：針對IT設備建議采用專用的脆弱性評估工具進行檢查，如Nessus、BurpSuite等工具，針對應用系統(tǒng)及代碼安全檢查，建議采用商業(yè)專用軟件進行檢查，如IBM AppScan。2. 手工檢查：由信息安全專員或技術支撐部門相關人員參照相關的指導文檔上機進行手工檢查。信息安全檢查工作開展前，信息安全管理組需制定安全檢查計劃，對于部分可用性要求高的業(yè)務系統(tǒng)或設備，計劃中要明確執(zhí)行的時間，并且該計劃要通知相關部門與系統(tǒng)維護人員，明確相關人員的及部門的職責與注意事項。信息安全管理組與外服公司針對信息安全檢查須制定《安全檢查方案》，方案中，針對工具掃描部分需明確掃描策略，同時方案必須提供規(guī)避操作風險的措施與方法。并且該方案必須獲得技術支撐部領導批準。信息安全管理組應對IT系統(tǒng)安全檢查的結果進行匯總，并進行詳細分析，提供具體的安全解決建議，如安全加固、安全技術引進等。當發(fā)生重大的信息安全事件，信息安全管理組應在事后進行一次全面的安全檢查，并通過安全檢查結果對重要的安全問題進行及時解決。常見的弱點種類分為：1. 技術性弱點：系統(tǒng)，程序，設備中存在的漏洞或缺陷，比如結構設計問題或編程漏洞；2. 操作性弱點：軟件和系統(tǒng)在配置，操作，使用中的缺陷，包括人員在日常工作中的不良習慣，審計或備份的缺乏；3. 管理性弱點：策略，程序，規(guī)章制度，人員意識，組織結構等方面的不足；識別弱點的途徑包括審計報告，事件報告，安全復查報告，系統(tǒng)測試及評估報告，還可以利用專業(yè)機構發(fā)布的列表信息。當然，許多技術性和操作性弱點，可以借助自動化的漏洞掃描工具和滲透測試等方法來識別和評估。在對生命周期敏感的資產(chǎn)評估過程中，應注意從創(chuàng)建，使用，傳輸，存儲，銷毀等不同的階段識別弱點。弱點的發(fā)現(xiàn)隨著新應用,新技術的出現(xiàn),需要不斷更新完善弱點列表。 弱點賦值信息資產(chǎn)弱點為IT設備自身存在的安全問題。在**，弱點的嚴重性以暴露程度進行評價，即弱點被利用的難易程度，而弱點對資產(chǎn)安全影響的嚴重程度放在資產(chǎn)價值中去考慮，一個弱點可能導致多項不同價值資產(chǎn)的風險上升。參考業(yè)界的最佳實踐，采用的等級劃分如下：將弱點嚴重性分為4個等級，分別是非常高
公司管理相關推薦
鄂ICP備17016276號-1