【正文】 。 來自 載 ? 第一，自然災(zāi)害 ? 第二，誤操作和安全生產(chǎn)事故； ? 第三，病毒、蠕蟲以及網(wǎng)絡(luò)攻擊； ? 第四，由于信任體系不完善，借助信息化手段進(jìn)行欺詐； ? 第五，因內(nèi)部因素而造成的信息、數(shù)據(jù)的修改和丟失和內(nèi)部泄密； ； ? 第六，因外部因素造成信息、數(shù)據(jù)的泄露、篡改和丟失； ? 第七，安全防范措施不到位的高端技術(shù)。 ? （ 1）領(lǐng)導(dǎo)對(duì)于風(fēng)險(xiǎn)管理的重視不足，忽視電子化政府項(xiàng)目的高風(fēng)險(xiǎn)等具體問題； ? （ 2）行政改革與創(chuàng)新的方向性錯(cuò)誤； ? （ 3）組織信息化目標(biāo)的錯(cuò)誤設(shè)定，片面追求上網(wǎng)，忽視服務(wù)質(zhì)量； ? （ 4）跨部門之信息化進(jìn)程的協(xié)調(diào)問題； ? （ 5）重復(fù)建設(shè)問題 ； ? （ 6）信息化項(xiàng)目未能及時(shí)完成，預(yù)算超支問題； ? （ 7）信息孤島問題 ； ? （ 8）項(xiàng)目難以有效評(píng)估或評(píng)測(cè)的問題 。根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果，進(jìn)行相應(yīng)等級(jí)的安全建設(shè)和管理，特別是對(duì)涉及國(guó)家機(jī)密的信息系統(tǒng)，要按照黨和國(guó)家有關(guān)保密規(guī)定進(jìn)行保護(hù)。 ? 信息安全檢查制度與自評(píng)估制度 。 ? 在試點(diǎn)工作中將探討以下問題： ? 探索風(fēng)險(xiǎn)評(píng)估管理機(jī)制的建設(shè)，研究如何落實(shí)中辦發(fā) 27號(hào)文件“ 誰(shuí)主管誰(shuí)負(fù)責(zé)誰(shuí)運(yùn)營(yíng)誰(shuí)負(fù)責(zé) ” 的原則， 包括信息安全風(fēng)險(xiǎn)評(píng)估的領(lǐng)導(dǎo)體制、協(xié)調(diào)機(jī)制、審查與批準(zhǔn)、監(jiān)管、督察和備案等內(nèi)容；明確信息安全風(fēng)險(xiǎn)評(píng)估的角色、責(zé)任、方法、過程及結(jié)果 ? 摸索協(xié)同開展風(fēng)險(xiǎn)評(píng)估工作和信息安全等級(jí)保護(hù)工作、保密檢查工作的實(shí)踐經(jīng)驗(yàn)； ? 檢驗(yàn)和完善信息安全風(fēng)險(xiǎn)評(píng)估管理規(guī)范與技術(shù)標(biāo)準(zhǔn)； ? 了解信息安全檢查評(píng)估和自評(píng)估模式的效果與不足 ； 來自 載 明確專家組工作基本思路 ? 在 2020年工作的基礎(chǔ)上，國(guó)信辦安全組決定今年正式啟動(dòng)風(fēng)險(xiǎn)評(píng)估試點(diǎn)工作 ,明確了專家組的角色： 立足咨詢服務(wù)，協(xié)助試點(diǎn)單位 ? 主要任務(wù) : ? 參與討論和完善 “ 信息安全風(fēng)險(xiǎn)評(píng)估工作意見 ” ? 協(xié)助風(fēng)險(xiǎn)評(píng)估試點(diǎn)單位做好試點(diǎn)工作 ? 做好信息安全風(fēng)險(xiǎn)評(píng)估培訓(xùn)和咨詢工作 ? 加緊修訂和宣貫風(fēng)險(xiǎn)評(píng)估試行標(biāo)準(zhǔn) 來自 載 確定選擇試點(diǎn)單位 ? 條件 ? 試點(diǎn)單位的信息化系統(tǒng)已具有一定的規(guī)模，試點(diǎn)單位應(yīng)具備自己的技術(shù)一定的、專業(yè)隊(duì)伍和評(píng)估實(shí)踐經(jīng)驗(yàn)。 來自 載 建設(shè)獨(dú)立自主、符合國(guó)際慣例的風(fēng)險(xiǎn)評(píng)估技術(shù)支撐體系 ? 舉國(guó)家之力，支持建設(shè)獨(dú)立自主、符合國(guó)際慣例的風(fēng)險(xiǎn)評(píng)估技術(shù)支撐體系。 來自 載 收獲和體會(huì) ? 提高了對(duì)風(fēng)險(xiǎn)評(píng)估工作的認(rèn)識(shí)和理解 ? — 科學(xué)方法、長(zhǎng)效機(jī)制 ? 為國(guó)信辦風(fēng)險(xiǎn)評(píng)估工作文件起草積累了素材 ? 檢驗(yàn)了標(biāo)準(zhǔn)，兩項(xiàng)試行標(biāo)準(zhǔn)得到了肯定 ? 初步規(guī)范了評(píng)估內(nèi)容，演練了評(píng)估的實(shí)施流程 ? 試行了部分評(píng)估技術(shù)方法，重視了評(píng)估的科學(xué)性 ? 評(píng)估方法的百花齊放和創(chuàng)新性 ? 體現(xiàn)了創(chuàng)新，積累了成果，培訓(xùn)了人才 來自 載 試點(diǎn)工作技術(shù)上特點(diǎn) ? 計(jì)劃比較周密 ? 注意控制了評(píng)估自身的風(fēng)險(xiǎn) ? 注意遵循和驗(yàn)證標(biāo)準(zhǔn)討論稿 ? 及時(shí)總結(jié)經(jīng)驗(yàn)和問題 ? 始終重視人才培養(yǎng) ? 在技術(shù)上通過評(píng)估方法的多樣化，進(jìn)行了有益的探索 來自 載 典型方法之一：綜合風(fēng)險(xiǎn)計(jì)算法 ? 規(guī)范評(píng)估過程 ? 摸清家底：劃分資產(chǎn)類型，建立重要資產(chǎn)清單，識(shí)別資產(chǎn)重要性 ? 分析威脅和分析脆弱性兩種途徑 ? 按層次分析脆弱性 ? 判定安全時(shí)間及其影響 ? 計(jì)算威脅風(fēng)險(xiǎn)值 ? 制定風(fēng)險(xiǎn)控制措施 來自 載 典型方法之四：面向關(guān)鍵信息資產(chǎn)的評(píng)估方法 （續(xù)） ? 威脅路徑分析法 ? 面向關(guān)鍵信息資產(chǎn)的層次分析法 ? 利用等級(jí)保護(hù)支撐平臺(tái)的評(píng)估方法 來自 載 試點(diǎn)工作出現(xiàn)了一批成果 ? 上海市的風(fēng)險(xiǎn)評(píng)估管理軟件 ? 評(píng)估模型和方法的創(chuàng)新與探索 ? 北京市利用了已有的工具平臺(tái)，形成了評(píng)估輔助工具平臺(tái) ? 黑龍江提出了基于模糊綜合判定理論的風(fēng)險(xiǎn)評(píng)估判定方法 ? 既有量化的探索，也有定性為主的探索 ? 云南提出了增加業(yè)務(wù)流分析和已有控制措施的有效性識(shí)