風險評估實施步驟簡介(文件)
【正文】 、員工、安全主管進行訪談。2．訪談記錄單內(nèi)容需要與被訪談人進行確認及簽字。4．進行人工評估（每次人工評估完成后，應有人工評估確認，需用戶方簽字）。9．逢周末進行周工作總結(jié)。4．收集好評估數(shù)據(jù)，并妥善保存。六、數(shù)據(jù)整理1．工作整理。2．報告解讀3．培訓9 / 9。3．撰寫加固方案和安全建議。6．簽字，并重新確認實施時間與實施范圍，有可能的情況下，需要甲方全程陪同。2．清晰明確的日工作計劃才能使當日工作有條不紊。7．在整個項目技術(shù)部分基本結(jié)束時，雙方協(xié)商進行滲透測試。五、技術(shù)評估階段1．提出掃描申請2．每日制定第二天的日工作計劃，包括掃描評估、人工評估、問卷調(diào)查等詳細計劃。5．對評估中需要的其他策略文檔進行收集。四、管理評估階段1．提供現(xiàn)有的安全管理規(guī)范和管理制度。三、制定整體實施計劃1．按照工作范圍制定整個項目的總體計劃，包括現(xiàn)場準備、掃描評估、人工評估、問卷調(diào)查、加固實施等各階段。3．請局方給所有資產(chǎn)賦值（雙方確認資產(chǎn)賦值）4．請局方指定安全管理問卷調(diào)查（訪談）人員，管理、員工、安全主管各一人。風險評估是建立ISMS的基礎(chǔ)，處于27001的第一個環(huán)節(jié)計劃階段（P），也為風險管理提供依據(jù)；等級保護理論上和27001沒有直接關(guān)系，但是目前等保的管理安全部分借鑒了27001的控制域部分要求，二者是可以相融合的P階段：建立ISMS(PLAN)? 定義ISMS 的范圍? 定義ISMS 策略? 定義系統(tǒng)的風險評估途徑? 識別風險? 評估風險? 識別并評價風險處理措施? 選擇用于風險處理的控制目標和控制? 準備適用性聲明（SoA）? 取得管理層對殘留風險的承認，并授權(quán)實施和操作ISMS信息安全風險評估項目工序與流程一、項目啟動1．雙方召開項目啟動會議，確定各自接口負責人。風險綜合分析是根據(jù)對系統(tǒng)資產(chǎn)識別，威脅分析，脆弱性評估的情況及收集的數(shù)據(jù)，定性和定量地評估系統(tǒng)安全現(xiàn)狀及風險狀況，評價現(xiàn)有保障措施的運行效能及對風險的抵御程度。威脅識別是對系統(tǒng)中涉及的重要資產(chǎn)可能遇到的威脅進行識別，并對其等級進行評估，形成威脅識別表。風險評估流程風險評估流程包括系統(tǒng)調(diào)研、資產(chǎn)識別、威脅識別、脆弱性識別（包括現(xiàn)有控制措施確認）、風險綜合分析以及風險控制計劃六個階段。通過滲透性測試檢安全配置的有效性。2. 風險評估文件風險評估文件包括在整個風險評估過程中產(chǎn)生的評估過程文檔和評估結(jié)果文檔，包括（但不僅限于此）：（1）風險評估計劃：闡述風險評估的目標、范圍、團隊、評估方法、評估結(jié)果的形式和實施進度等；（2）風險評估程序：明確評估的目的、職責、過程、相關(guān)的文件要求，并且準備實施評估需要的文檔；（3）資產(chǎn)識別清單：根據(jù)組織在風險評估程序文件中所確定的資產(chǎn)分類方法進行資產(chǎn)識別，形成資產(chǎn)識別清單，清單中應明確各資產(chǎn)的責任人/部門；（4）重要資產(chǎn)清單：根據(jù)資產(chǎn)識別和賦值的結(jié)果，形成重要資產(chǎn)列表，包括重要資產(chǎn)
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1