信息安全風(fēng)險評估流程(存儲版)
【正文】 工作的要點 第四，做好各方的協(xié)調(diào)配合工作。為了使評估結(jié)果真實、客觀、有效，需要有一定的時間保障，尤其是評估準(zhǔn)備階段，需要花較長的時間精心準(zhǔn)備。評估工作小組的人員可以從被評估方的技術(shù)部門選派，也可選擇國內(nèi)可以信賴的第三方專業(yè)評估機(jī)構(gòu)。 規(guī)避敏感信息泄露風(fēng)險，主要應(yīng)該注意幾點： ?參與評估的人員必須遵守國家有關(guān)信息安全的法律法規(guī)以及總行關(guān)于信息安全的相關(guān)管理規(guī)定，承擔(dān)相應(yīng)的義務(wù)和責(zé)任； ?被評估方應(yīng)與參與評估的所有人員簽訂具有法律約束力的保密協(xié)議； ?評估過程中做好審核確認(rèn)工作。 四、風(fēng)險評估流程 風(fēng)險評估文件記錄 （ 1） 風(fēng)險評估方案：闡述風(fēng)險評估的目標(biāo) 、 范圍 、 團(tuán)隊 、 評估方法 、 評估結(jié)果的形式和實施進(jìn)度等； （ 2） 風(fēng)險評估程序：明確評估的目的 、 職責(zé) 、 過程 、 相關(guān)的文件要求 ，并且準(zhǔn)備實施評估需要的文檔； （ 3） 資產(chǎn)識別清單：根據(jù)組織在風(fēng)險評估程序文件中所確定的資產(chǎn)分類方法進(jìn)行資產(chǎn)識別 ， 形成資產(chǎn)識別清單 ， 清單中應(yīng)明確各資產(chǎn)的責(zé)任人 /部門； （ 4） 重要資產(chǎn)清單：根據(jù)資產(chǎn)識別和賦值的結(jié)果 ， 形成重要資產(chǎn)列表 ，包括重要資產(chǎn)名稱 、 描述 、 類型 、 重要程度 、 責(zé)任人 /部門等； （ 5） 威脅列表：根據(jù)威脅識別和賦值的結(jié)果 ， 形成威脅列表 ， 包括威脅名稱 、 種類 、 來源 、 動機(jī)及出現(xiàn)的頻率等； （ 6） 脆弱性列表：根據(jù)脆弱性識別和賦值的結(jié)果 ， 形成脆弱性列表 ， 包括脆弱性名稱 、 描述 、 類型及嚴(yán)重程度等； （ 7） 已有安全措施確認(rèn)表：根據(jù)已采取的安全措施確認(rèn)的結(jié)果 ， 形成已有安全措施確認(rèn)表 ， 包括已有安全措施名稱 、 類型 、 功能描述及實施效果等； （ 8） 風(fēng)險評估報告：對整個風(fēng)險評估過程和結(jié)果進(jìn)行總結(jié) ， 詳細(xì)說明被評估對象 ， 風(fēng)險評估方法 ， 資產(chǎn) 、 威脅 、 脆弱性的識別結(jié)果 ， 風(fēng)險分析 、風(fēng)險統(tǒng)計和結(jié)論等內(nèi)容； （ 9） 風(fēng)險處理計劃：對評估結(jié)果中不可接受的風(fēng)險制定風(fēng)險處理計劃 ，選擇適當(dāng)?shù)目刂颇繕?biāo)及安全措施 ， 明確責(zé)任 、 進(jìn)度 、 資源 ， 并通過對殘余風(fēng)險的評價確保所選擇安全措施的有效性； （ 10）風(fēng)險評估記錄：根據(jù)組織的風(fēng)險評估程序文件，記錄對重要資產(chǎn)的風(fēng)險評估過程。風(fēng)險控制建議主要由評估工作小組在對被評估對象的安全現(xiàn)狀進(jìn)行綜合分析的基礎(chǔ)上，有針對性地給出。并對措施的有效性進(jìn)行分析，為后續(xù)的風(fēng)險分析提供參考依據(jù)。 脆弱性識別包括兩個方面，即技術(shù)脆弱性和管理脆弱性。 在工作過程中，應(yīng)注意脆弱性識別的全面性，包括物理、網(wǎng)絡(luò)、應(yīng)用和管理等方面。一項資產(chǎn)可能面臨多個威脅，而一個威脅也可能對不同的資產(chǎn)造成影響。 四、風(fēng)險評估流程 a) 資產(chǎn)分類 資產(chǎn)分類方法：根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、服務(wù)、人員等類型。在確定評估范圍和目標(biāo)之后，根據(jù)被評估對象的網(wǎng)絡(luò)規(guī)模、復(fù)雜度、特殊性，成立評估工
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1