215215215術(shù)有限公司信息安全風(fēng)險評估管理辦法(已修改)
2025-04-26 10:55 本頁面
【正文】 . . . .**信息安全風(fēng)險評估管理辦法目錄1 總則 32 組織與責(zé)任 33 信息安全風(fēng)險評估規(guī)定 3 弱點分析 3 概述 3 弱點檢查 3 弱點賦值 5 威脅分析 5 概述 5 威脅來源分析 5 威脅種類分析 6 威脅賦值 7 風(fēng)險計算 8 概述 8 風(fēng)險計算 8 風(fēng)險處置 9 概述 9 風(fēng)險處置方法 9 風(fēng)險處置流程 10 IT需求評估決策流程 164 獎懲管理規(guī)定 165 附則 166 附錄一：安全檢查申請單 177 附錄二：安全檢查方案模版 198 附錄三：風(fēng)險處置計劃表 21 1 總則為確保**網(wǎng)絡(luò)及信息系統(tǒng)安全、高效、可控的運行，提高業(yè)務(wù)系統(tǒng)安全運行能力，全面降低信息安全風(fēng)險，特制定本管理辦法。2 組織與責(zé)任信息安全管理組負責(zé)信息安全風(fēng)險評估的具體實施。技術(shù)支撐部門協(xié)助信息安全管理執(zhí)行組的信息安全風(fēng)險評估工作，并且實施信息安全管理執(zhí)行組通過風(fēng)險評估后提供的解決方案與建議。其他部門協(xié)助信息安全管理執(zhí)行組開展信息安全風(fēng)險評估工作。3 信息安全風(fēng)險評估規(guī)定 弱點分析 概述弱點評估是安全風(fēng)險評估中最主要的內(nèi)容。弱點是信息資產(chǎn)本身存在的，它可以被威脅利用、引起資產(chǎn)或商業(yè)目標(biāo)的損害。弱點包括物理環(huán)境、組織、過程、人員、管理、配置、硬件、軟件和信息等各種資產(chǎn)的弱點。 弱點檢查信息安全管理組應(yīng)定期對集團IT系統(tǒng)進行全面的信息安全弱點檢查，了解各IT系統(tǒng)的信息安全現(xiàn)狀。IT系統(tǒng)安全檢查的范圍包括：主機系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫系統(tǒng)、應(yīng)用系統(tǒng)、郵件系統(tǒng)以及其它在用系統(tǒng)。IT系統(tǒng)安全檢查的工具與方法如下：1. 工具檢查：針對IT設(shè)備建議采用專用的脆弱性評估工具進行檢查，如Nessus、BurpSuite等工具，針對應(yīng)用系統(tǒng)及代碼安全檢查，建議采用商業(yè)專用軟件進行檢查，如IBM AppScan。2. 手工檢查：由信息安全專員或技術(shù)支撐部門相關(guān)人員參照相關(guān)的指導(dǎo)文檔上機進行手工檢查。信息安全檢查工作開展前，信息安全管理組需制定安全檢查計劃，對于部分可用性要求高的業(yè)務(wù)系統(tǒng)或設(shè)備，計劃中要明確執(zhí)行的時間，并且該計劃要通知相關(guān)部門與系統(tǒng)維護人員，明確相關(guān)人員的及部門的職責(zé)與注意事項。信息安全管理組與外服公司針對信息安全檢查須制定《安全檢查方案》，方案中，針對工具掃描部分需明確掃描策略，同時方案必須提供規(guī)避操作風(fēng)險的措施與方法。并且該方案必須獲得技術(shù)支撐部領(lǐng)導(dǎo)批準(zhǔn)。信息安全管理組應(yīng)對IT系統(tǒng)安全檢查的結(jié)果進行匯總，并進行詳細分析，提供具體的安全解決建議，如安全加固、安全技術(shù)引進等。當(dāng)發(fā)生重大的信息安全事件，信息安全管理組應(yīng)在事后進行一次全面的安全檢查，并通過安全檢查結(jié)果對重要的安全問題進行及時解決。常見的弱點種類分為：1. 技術(shù)性弱點：系統(tǒng)，程序，設(shè)備中存在的漏洞或缺陷，比如結(jié)構(gòu)設(shè)計問題或編程漏洞；2. 操作性弱點：軟件和系統(tǒng)在配置，操作，使用中的缺陷，包括人員在日常工作中的不良習(xí)慣，審計或備份的缺乏；3. 管理性弱點：策略，程序，規(guī)章制度，人員意識，組織結(jié)構(gòu)等方面的不足；識別弱點的途徑包括審計報告，事件報告，安全復(fù)查報告，系統(tǒng)測試及評估報告，還可以利用專業(yè)機構(gòu)發(fā)布的列表信息。當(dāng)然，許多技術(shù)性和操作性弱點，可以借助自動化的漏洞掃描工具和滲透測試等方法來識別和評估。在對生命周期敏感的資產(chǎn)評估過程中，應(yīng)注意從創(chuàng)建，使用，傳輸，存儲，銷毀等不同的階段識別弱點。弱點的發(fā)現(xiàn)隨著新應(yīng)用,新技術(shù)的出現(xiàn),需要不斷更新完善弱點列表。 弱點賦值信息資產(chǎn)弱點為IT設(shè)備自身存在的安全問題。在**，弱點的嚴重性以暴露程度進行評價，即弱點被利用的難易程度，而弱點對資產(chǎn)安全影響的嚴重程度放在資產(chǎn)價值中去考慮，一個弱點可能導(dǎo)致多項不同價值資產(chǎn)的風(fēng)險上升。參考業(yè)界的最佳實踐，采用的等級劃分如下：將弱點嚴重性分為4個等級，分別是非常高
公司管理相關(guān)推薦
鄂ICP備17016276號-1