信息安全風(fēng)險(xiǎn)評(píng)估國(guó)家標(biāo)準(zhǔn)編制(文件)
【正文】 的認(rèn)識(shí)導(dǎo)出安全需求； （ 7）安全需求可通過(guò)安全措施得以滿足，需要結(jié)合資產(chǎn)價(jià)值考慮實(shí)施成本； （ 8）安全措施可抵御威脅，降低風(fēng)險(xiǎn)； （ 9）殘余風(fēng)險(xiǎn)是未被安全措施控制的風(fēng)險(xiǎn)。 35 風(fēng) 險(xiǎn)評(píng)估可以不斷深入地發(fā)現(xiàn)系統(tǒng)建設(shè)中的安全隱患，采取或完善更加經(jīng)濟(jì)有效的安全保障措施，來(lái) 消除安全建設(shè)中的盲目樂(lè)觀或盲目恐懼，提出有針對(duì)性的從實(shí)際出發(fā)的解決方法，提高系統(tǒng)安全的科學(xué)管理水平，進(jìn)而全面提升網(wǎng)絡(luò)與信息系統(tǒng)的安全保障能力。自評(píng)估為主，自評(píng)估和檢查評(píng)估相互結(jié)合、互為補(bǔ)充。委托風(fēng)險(xiǎn)評(píng)估服務(wù)技術(shù)支持方實(shí)施的評(píng)估，過(guò)程比較規(guī)范、評(píng)估結(jié)果的客觀性比較好，可信程度較高；但由于受到行業(yè)知識(shí)技能及業(yè)務(wù)了解的限制，對(duì)被評(píng)估系統(tǒng)的了解，尤其是在業(yè)務(wù)方面的特殊要求存在一定的局限。因此 ， 自評(píng)估中的 “ 自 ” 的含義是自已負(fù)責(zé)的 “ 自 ” 。 檢查評(píng)估可依據(jù)本標(biāo)準(zhǔn)的要求，實(shí)施完整的風(fēng)險(xiǎn)評(píng)估過(guò)程。 49 風(fēng)險(xiǎn)評(píng)估怎么做 風(fēng)險(xiǎn)評(píng)估實(shí)施流程 風(fēng)險(xiǎn)評(píng)估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估 50 國(guó) 信辦 [2023]5號(hào)文件指出： 信息安全 風(fēng)險(xiǎn)評(píng)估應(yīng)貫穿于網(wǎng)絡(luò)與信息系統(tǒng)建設(shè)運(yùn)行的全過(guò)程。規(guī)劃階段的評(píng)估應(yīng)能夠描述信息系統(tǒng)建成后對(duì)現(xiàn)有業(yè)務(wù)模式的作用，包括技術(shù)、管理等方面，并根據(jù)其作用確定系統(tǒng)建設(shè)應(yīng)達(dá)到的安全目標(biāo)。根據(jù)設(shè)計(jì)階段分析的威脅和制定的安全措施，在實(shí)施及驗(yàn)收時(shí)進(jìn)行質(zhì)量控制。評(píng)估內(nèi)容包括對(duì)真實(shí)運(yùn)行的信息系統(tǒng)、資產(chǎn)、威脅、脆弱性等各方面。包括運(yùn)行環(huán)境中物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、安全保障設(shè)備、管理等各方面的脆弱性。 廢棄階段風(fēng)險(xiǎn)評(píng)估著重在以下幾方面： 確保硬件和軟件等資產(chǎn)及殘留信息得到了適當(dāng)?shù)奶幹?，并確保系 統(tǒng)組件被合理地丟棄或更換； 如果被廢棄的系統(tǒng)是某個(gè)系統(tǒng)的一部分，或與其他系統(tǒng)存在物理 或邏輯上的連接，還應(yīng)考慮系統(tǒng)廢棄后與其他系統(tǒng)的連接是否被 關(guān)閉； 如果在系統(tǒng)變更中廢棄，除對(duì)廢棄部分外，還應(yīng)對(duì)變更的部分進(jìn) 行評(píng)估，以確定是否會(huì)增加風(fēng)險(xiǎn)或引入新的風(fēng)險(xiǎn)； 是否建立了流程，確保更新過(guò)程在一個(gè)安全、系統(tǒng)化的狀態(tài)下完 成。 信 息 安 全 風(fēng) 險(xiǎn)評(píng) 估 國(guó) 家 標(biāo) 準(zhǔn)信 息 安 全 風(fēng) 險(xiǎn)評(píng) 估 指 南信 息 安 全 風(fēng) 險(xiǎn)管 理 指 南相 關(guān) 技 術(shù) 層 面 的細(xì) 則 和 規(guī) 范重 點(diǎn) 行 業(yè) 的 風(fēng) 險(xiǎn)管 理 標(biāo) 準(zhǔn) 信 息 系 統(tǒng) 各 生 命 周期 的 風(fēng) 險(xiǎn) 管 理 標(biāo) 準(zhǔn) 風(fēng) 險(xiǎn) 管 理 標(biāo) 準(zhǔn)體 系 研 究其 他信 息 系 統(tǒng) 各 生 命 周期 的 風(fēng) 險(xiǎn) 評(píng) 估 標(biāo) 準(zhǔn) 重 點(diǎn) 行 業(yè) 的 風(fēng) 險(xiǎn)評(píng) 估 標(biāo) 準(zhǔn) 相 關(guān) 技 術(shù) 層 面 的細(xì) 則 和 規(guī) 范風(fēng) 險(xiǎn) 評(píng) 估 標(biāo) 準(zhǔn)體 系 研 究其 他60 進(jìn)行 國(guó)家信息安全風(fēng)險(xiǎn)評(píng)估基礎(chǔ)環(huán)境 立項(xiàng) ,以保證風(fēng)險(xiǎn)評(píng)估工作能夠依據(jù)標(biāo)準(zhǔn)科學(xué)、規(guī)范地展開(kāi)。 三、下一步工作的幾點(diǎn)思考 59 總之，將繼續(xù)跟蹤國(guó)內(nèi)外相關(guān)領(lǐng)域的最新技術(shù)發(fā)展動(dòng)態(tài)，進(jìn)一步研究完善信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)體系，進(jìn)行相關(guān)標(biāo)準(zhǔn)的編制工作。 56 廢棄階段的風(fēng)險(xiǎn)評(píng)估 當(dāng)信息系統(tǒng)不能滿足現(xiàn)有要求時(shí)，信息系統(tǒng)進(jìn)入廢棄階段。包括實(shí)施階段采購(gòu)的軟硬件資產(chǎn)、系統(tǒng)運(yùn)行過(guò)程中生成的信息資產(chǎn)、相關(guān)的人員與服務(wù)等，本階段資產(chǎn)識(shí)別是前期資產(chǎn)識(shí)別的補(bǔ)充與增加； 威脅評(píng)估：應(yīng)全面地分析威脅的可能性和影響程度。實(shí)施階段風(fēng)險(xiǎn)評(píng)估主要對(duì)系統(tǒng)的開(kāi)發(fā)與技術(shù) /產(chǎn)品獲取、系統(tǒng)交付實(shí)施兩個(gè)過(guò)程進(jìn)行評(píng)估。設(shè)計(jì)階段的風(fēng)險(xiǎn)評(píng)估結(jié)果應(yīng)對(duì)設(shè)計(jì)方案中所提供的安全功能符合性進(jìn)行判斷，作為采購(gòu)過(guò)程風(fēng)險(xiǎn)控制的依據(jù)。如在網(wǎng)絡(luò)與信息系統(tǒng)規(guī)劃設(shè)計(jì)階段，應(yīng)通過(guò)信息安全風(fēng)險(xiǎn)評(píng)估進(jìn)一步明確安全需求和安全目標(biāo)。 基于以上原因，委托評(píng)估技術(shù)支持比委托評(píng)估的提法更為切合實(shí)際。 46 此外，為保證風(fēng)險(xiǎn)評(píng)估的實(shí)施，與系統(tǒng)相連的相關(guān)方也應(yīng)配合，以防止給其他方的使用帶來(lái)困難或引入新的風(fēng)險(xiǎn)也往往較多，因此，要對(duì)實(shí)施檢查評(píng)估機(jī)構(gòu)的資質(zhì)進(jìn)行嚴(yán)格管理。 45 自評(píng)估中的 “ 自 ” 不僅僅是指自已做評(píng)估的 “ 自 ” ， 也不僅僅是指自愿做評(píng)估的 “ 自 ” 。 風(fēng)險(xiǎn)評(píng)估的形式 44 自評(píng)估 自 評(píng)估可由發(fā)起方實(shí)施或委托風(fēng)險(xiǎn)評(píng)估服務(wù)技術(shù)支持方實(shí)施。并為防范和化解信息安全風(fēng)險(xiǎn)，或者將風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)和信息安全提供科學(xué)依據(jù)。 33 二、標(biāo)準(zhǔn)的主要內(nèi)容 什
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1