信息安全風(fēng)險(xiǎn)評(píng)估流程(存儲(chǔ)版)
【正文】 工作的要點(diǎn) 第四，做好各方的協(xié)調(diào)配合工作。為了使評(píng)估結(jié)果真實(shí)、客觀、有效，需要有一定的時(shí)間保障，尤其是評(píng)估準(zhǔn)備階段，需要花較長(zhǎng)的時(shí)間精心準(zhǔn)備。評(píng)估工作小組的人員可以從被評(píng)估方的技術(shù)部門選派，也可選擇國(guó)內(nèi)可以信賴的第三方專業(yè)評(píng)估機(jī)構(gòu)。 規(guī)避敏感信息泄露風(fēng)險(xiǎn)，主要應(yīng)該注意幾點(diǎn)： ?參與評(píng)估的人員必須遵守國(guó)家有關(guān)信息安全的法律法規(guī)以及總行關(guān)于信息安全的相關(guān)管理規(guī)定，承擔(dān)相應(yīng)的義務(wù)和責(zé)任； ?被評(píng)估方應(yīng)與參與評(píng)估的所有人員簽訂具有法律約束力的保密協(xié)議； ?評(píng)估過程中做好審核確認(rèn)工作。 四、風(fēng)險(xiǎn)評(píng)估流程 風(fēng)險(xiǎn)評(píng)估文件記錄 （ 1） 風(fēng)險(xiǎn)評(píng)估方案：闡述風(fēng)險(xiǎn)評(píng)估的目標(biāo) 、 范圍 、 團(tuán)隊(duì) 、 評(píng)估方法 、 評(píng)估結(jié)果的形式和實(shí)施進(jìn)度等； （ 2） 風(fēng)險(xiǎn)評(píng)估程序：明確評(píng)估的目的 、 職責(zé) 、 過程 、 相關(guān)的文件要求 ，并且準(zhǔn)備實(shí)施評(píng)估需要的文檔； （ 3） 資產(chǎn)識(shí)別清單：根據(jù)組織在風(fēng)險(xiǎn)評(píng)估程序文件中所確定的資產(chǎn)分類方法進(jìn)行資產(chǎn)識(shí)別 ， 形成資產(chǎn)識(shí)別清單 ， 清單中應(yīng)明確各資產(chǎn)的責(zé)任人 /部門； （ 4） 重要資產(chǎn)清單：根據(jù)資產(chǎn)識(shí)別和賦值的結(jié)果 ， 形成重要資產(chǎn)列表 ，包括重要資產(chǎn)名稱 、 描述 、 類型 、 重要程度 、 責(zé)任人 /部門等； （ 5） 威脅列表：根據(jù)威脅識(shí)別和賦值的結(jié)果 ， 形成威脅列表 ， 包括威脅名稱 、 種類 、 來源 、 動(dòng)機(jī)及出現(xiàn)的頻率等； （ 6） 脆弱性列表：根據(jù)脆弱性識(shí)別和賦值的結(jié)果 ， 形成脆弱性列表 ， 包括脆弱性名稱 、 描述 、 類型及嚴(yán)重程度等； （ 7） 已有安全措施確認(rèn)表：根據(jù)已采取的安全措施確認(rèn)的結(jié)果 ， 形成已有安全措施確認(rèn)表 ， 包括已有安全措施名稱 、 類型 、 功能描述及實(shí)施效果等； （ 8） 風(fēng)險(xiǎn)評(píng)估報(bào)告：對(duì)整個(gè)風(fēng)險(xiǎn)評(píng)估過程和結(jié)果進(jìn)行總結(jié) ， 詳細(xì)說明被評(píng)估對(duì)象 ， 風(fēng)險(xiǎn)評(píng)估方法 ， 資產(chǎn) 、 威脅 、 脆弱性的識(shí)別結(jié)果 ， 風(fēng)險(xiǎn)分析 、風(fēng)險(xiǎn)統(tǒng)計(jì)和結(jié)論等內(nèi)容； （ 9） 風(fēng)險(xiǎn)處理計(jì)劃：對(duì)評(píng)估結(jié)果中不可接受的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)處理計(jì)劃 ，選擇適當(dāng)?shù)目刂颇繕?biāo)及安全措施 ， 明確責(zé)任 、 進(jìn)度 、 資源 ， 并通過對(duì)殘余風(fēng)險(xiǎn)的評(píng)價(jià)確保所選擇安全措施的有效性； （ 10）風(fēng)險(xiǎn)評(píng)估記錄：根據(jù)組織的風(fēng)險(xiǎn)評(píng)估程序文件，記錄對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)評(píng)估過程。風(fēng)險(xiǎn)控制建議主要由評(píng)估工作小組在對(duì)被評(píng)估對(duì)象的安全現(xiàn)狀進(jìn)行綜合分析的基礎(chǔ)上，有針對(duì)性地給出。并對(duì)措施的有效性進(jìn)行分析，為后續(xù)的風(fēng)險(xiǎn)分析提供參考依據(jù)。 脆弱性識(shí)別包括兩個(gè)方面，即技術(shù)脆弱性和管理脆弱性。 在工作過程中，應(yīng)注意脆弱性識(shí)別的全面性，包括物理、網(wǎng)絡(luò)、應(yīng)用和管理等方面。一項(xiàng)資產(chǎn)可能面臨多個(gè)威脅，而一個(gè)威脅也可能對(duì)不同的資產(chǎn)造成影響。 四、風(fēng)險(xiǎn)評(píng)估流程 a) 資產(chǎn)分類 資產(chǎn)分類方法：根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、服務(wù)、人員等類型。在確定評(píng)估范圍和目標(biāo)之后，根據(jù)被評(píng)估對(duì)象的網(wǎng)絡(luò)規(guī)模、復(fù)雜度、特殊性，成立評(píng)估工
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1