215215215術(shù)有限公司信息安全風(fēng)險評估管理辦法-免費(fèi)閱讀
【正文】 是狼就要練好牙，是羊就要練好腿。3. 在風(fēng)險評估過程中，發(fā)現(xiàn)上次風(fēng)險未進(jìn)行加固或解決，信息化管理部信息安全組應(yīng)進(jìn)行通報批評，如果多次評估發(fā)現(xiàn)安全風(fēng)險未解決，應(yīng)報告綜合部進(jìn)行相關(guān)處罰。同時還需要考慮隨著該資產(chǎn)的應(yīng)用所引入的新威脅，可能會導(dǎo)致現(xiàn)有的資產(chǎn)風(fēng)險等級提升。 控制項(xiàng)的實(shí)施通過風(fēng)險處置計劃的實(shí)施，組織應(yīng)該盡其所能針對等級保護(hù)中的標(biāo)準(zhǔn)內(nèi)容在管理、技術(shù)、邏輯、物理和環(huán)境控制方面進(jìn)行勸止、防護(hù)、檢測、糾正、恢復(fù)和補(bǔ)償工作。風(fēng)險接受要符合風(fēng)險可接受準(zhǔn)則，即風(fēng)險評估結(jié)果中風(fēng)險值為2及以下，都是可以接受的風(fēng)險，最終上報給最高領(lǐng)導(dǎo)，待領(lǐng)導(dǎo)批準(zhǔn)是否選擇接受風(fēng)險。手段包括合同、保險安排、合伙、資產(chǎn)轉(zhuǎn)移等。當(dāng)風(fēng)險已經(jīng)定義后，必須決定如何處置這些風(fēng)險。因此，風(fēng)險和具體的資產(chǎn)威脅等級以及相關(guān)的弱點(diǎn)直接相關(guān)。越權(quán)或?yàn)E用通過采用一些措施，超越自己的權(quán)限訪問了本來無權(quán)訪問的資源；或者濫用自己的職權(quán)，做出破壞信息系統(tǒng)的行為。 威脅種類分析對安全威脅進(jìn)行分類的方式有多種多樣，針對上表威脅來源，需要考慮下述的安全威脅種類。產(chǎn)生安全威脅的主要因素可以分為人為因素和環(huán)境因素。當(dāng)然，許多技術(shù)性和操作性弱點(diǎn)，可以借助自動化的漏洞掃描工具和滲透測試等方法來識別和評估。IT系統(tǒng)安全檢查的工具與方法如下：1. 工具檢查：針對IT設(shè)備建議采用專用的脆弱性評估工具進(jìn)行檢查，如Nessus、BurpSuite等工具，針對應(yīng)用系統(tǒng)及代碼安全檢查，建議采用商業(yè)專用軟件進(jìn)行檢查，如IBM AppScan。2 組織與責(zé)任信息安全管理組負(fù)責(zé)信息安全風(fēng)險評估的具體實(shí)施。弱點(diǎn)包括物理環(huán)境、組織、過程、人員、管理、配置、硬件、軟件和信息等各種資產(chǎn)的弱點(diǎn)。信息安全管理組應(yīng)對IT系統(tǒng)安全檢查的結(jié)果進(jìn)行匯總，并進(jìn)行詳細(xì)分析，提供具體的安全解決建議，如安全加固、安全技術(shù)引進(jìn)等。參考業(yè)界的最佳實(shí)踐，采用的等級劃分如下：將弱點(diǎn)嚴(yán)重性分為4個等級，分別是非常高（VH）、高（H）、中等（M）、低（L），并且從高到低分別賦值41。惡意內(nèi)部人員不滿的或有預(yù)謀的內(nèi)部人員對信息系統(tǒng)進(jìn)行惡意破壞；采用自主的或內(nèi)外勾結(jié)的方式盜竊機(jī)密信息或進(jìn)行篡改，獲取利益。制度不完善相關(guān)制度不完善、合理，造成無章可循或無法遵循。抵賴不承認(rèn)收到的信息、所作的操作或交易。 風(fēng)險等級計算結(jié)果如下：根據(jù)計算出的風(fēng)險值，對風(fēng)險進(jìn)行排序，并根據(jù)組織自身的特點(diǎn)和具體條件、需求，選擇相應(yīng)的風(fēng)險處置方式。例如，將重要的計算機(jī)系統(tǒng)與互聯(lián)網(wǎng)隔離，使其免遭來自外部網(wǎng)絡(luò)的攻擊。風(fēng)險接受是對殘余風(fēng)險進(jìn)行確認(rèn)和評價的過程。 風(fēng)險處置計劃風(fēng)險處置計劃包含所有相關(guān)信息：管理任務(wù)和職責(zé)、管理責(zé)任人、風(fēng)險管理的優(yōu)先等級等等（詳見附錄《風(fēng)險處置計劃表》）。同時應(yīng)該咨詢信息安全專家和法律專家，確?？刂拼胧┑倪x擇和實(shí)施是正確、有效的。4 獎懲管理規(guī)定1. 本辦法要求定期執(zhí)行相關(guān)安全評估工作。定期統(tǒng)一檢查和評估本制度，并做出適當(dāng)更新。能干的人，不在情緒上計較，只在做事上認(rèn)真；無能的人！不在做事上認(rèn)真，只在情緒上計較。2. 本辦法的解釋和修改權(quán)屬于信息化管理部信息安全組。3. 對需求進(jìn)行評估決策，分析自身存在的風(fēng)險和引入的風(fēng)險，以及需要采取的處置措施，措施所需要增加的投資，以及業(yè)務(wù)的重要性。部分風(fēng)險處置建議表風(fēng)險及問題控制措施類型處置措施缺乏防病毒系統(tǒng)技術(shù) 安裝主機(jī)防病毒軟件 部署網(wǎng)絡(luò)防病毒產(chǎn)品 部署互聯(lián)網(wǎng)出口防病毒墻管理 制訂病毒預(yù)防管理規(guī)定 制訂計算機(jī)安全使用意識規(guī)定主機(jī)補(bǔ)丁不全技術(shù) 更新補(bǔ)丁 集中補(bǔ)丁集中管理系統(tǒng)管理 制訂補(bǔ)丁維護(hù)管理制度缺乏網(wǎng)絡(luò)訪問控制技術(shù) 部署防火墻，增加訪問控制策略 劃分VLAN，并增加ACL缺乏信息安全方針文件管理 制定信息安全方針文件并向所有員工公布 按計劃的時間間隔或發(fā)生重大事件時，對安全方針進(jìn)行評審缺乏有效的信息安全組織管理 成立有效的信息安全組織，明確規(guī)定所有信息安全職責(zé) 定期與組織成員簽署保密協(xié)議或責(zé)任書缺乏對信息資產(chǎn)的整理和分類管理 制定詳細(xì)的資產(chǎn)清單，并責(zé)任到人
公司管理相關(guān)推薦
鄂ICP備17016276號-1