215215215術(shù)有限公司信息安全風險評估管理辦法(編輯修改稿)
2025-05-11 11:38 本頁面
【文章內(nèi)容簡介】 險計算采用下面的算術(shù)方法來得到信息資產(chǎn)的風險值：風險值 ＝ 資產(chǎn)值 威脅值 弱點值風險等級與風險值對應關(guān)系參考下圖：風險級別列表風險等級風險取值范圍4很高464一旦發(fā)生將產(chǎn)生非常嚴重的經(jīng)濟或社會影響，如組織信譽嚴重破壞、嚴重影響組織的正常經(jīng)營，經(jīng)濟損失重大。3高22336一旦發(fā)生將產(chǎn)生較大的經(jīng)濟或社會影響，在一定范圍內(nèi)給組織的經(jīng)營和組織信譽造成損害。2中1118一旦發(fā)生會造成一定的經(jīng)濟、社會或生產(chǎn)經(jīng)營影響，但影響面和影響程度不大，一般僅限于組織內(nèi)部，通過一定手段就能解決1低≤9一旦發(fā)生造成的影響很小或幾乎不存在，通過簡單的措施就能彌補。 風險等級計算結(jié)果如下：根據(jù)計算出的風險值，對風險進行排序，并根據(jù)組織自身的特點和具體條件、需求，選擇相應的風險處置方式。 風險處置 概述風險的處置方法依照風險程度，根據(jù)風險等級來采取不同的處置方法。風險程度和遵照的處置方法建議見下表：風險等級列表符號含義建議處置方法VH很高風險需要管理層的高度注意：避免？轉(zhuǎn)移？減少？H高風險需要管理層的注意：避免？轉(zhuǎn)移？減??？M中風險必須規(guī)定管理責任：避免？接受？轉(zhuǎn)移？減小？L低風險用日常程序處理：避免？接受？轉(zhuǎn)移？減?。窟x擇處置措施的原則是權(quán)衡利弊：權(quán)衡每種選擇的成本與其得到的利益。當風險已經(jīng)定義后，必須決定如何處置這些風險。 風險處置方法在考慮風險處理前，如果經(jīng)評估顯示，風險較低或處理成本對于組織來說不劃算，則風險可被接受。這些決定應加以記錄。通常有四種風險處置的方法：1. 避免風險：在某些情況下，可以決定不繼續(xù)進行可能產(chǎn)生風險的活動來規(guī)避風險。在某些情況可能是較為穩(wěn)妥的處理辦法，但是在某些情況下可能會因此而喪失機會。例如，將重要的計算機系統(tǒng)與互聯(lián)網(wǎng)隔離，使其免遭來自外部網(wǎng)絡的攻擊。2. 降低風險：實施有效控制，將風險降低到可接受的程度，實際上就是力圖減少威脅發(fā)生的可能性和帶來的影響，包括：l 減少威脅：例如，建立并實施惡意軟件控制程序，減少信息系統(tǒng)受惡意軟件攻擊的機會；l 減少弱點：例如，通過安全教育和意識培訓，強化職員的安全意識與安全操作能力；l 降低影響：例如，制定災難回復計劃和業(yè)務連續(xù)性計劃，做好備份。3. 轉(zhuǎn)移風險：這涉及承擔或分擔部分風險的另一方。手段包括合同、保險安排、合伙、資產(chǎn)轉(zhuǎn)移等。4. 接受風險：不管如何處置，一般資產(chǎn)面臨的風險總是在一定程度上存在。當組織根據(jù)風險評估的方法，完成實施選擇的控制措施后，會有殘余的風險。殘余風險可能是組織可以接受的風險，也可能是遺漏了某些信息資產(chǎn)，使其未受保護。為確保組織的信息安全，殘余風險應該控制在可以接受的范圍之內(nèi)。風險接受是對殘余風險進行確認和評價的過程。在實施安全控制措施后，組織應該對安全措施的情況進行評審，即對所選擇的控制在多大程度上降低了風險做出判斷。通過成本利益分析、影響分析及風險回顧，即在繼續(xù)處置需要的成本和風險之間進行抉擇。風險接受要符合風險可接受準則，即風險評估結(jié)果中風險值為2及以下，都是可以接受的風險，最終上報給最高領(lǐng)導，待領(lǐng)導批準是否選擇接受風險。 風險處置流程 選擇控制項在大多數(shù)情況下，必須選擇控制項來降低風險。在完成風險評估之后，組織需要在每一個目標信息環(huán)境中，對選擇的控制項進行實施，以便遵從ISO/27001標準。組織選擇能夠承受（經(jīng)濟上）的防護措施來防護面臨的威脅。在最終風險處置計劃出來前，組織可以接受或拒絕建議的保護方案。 風險處置計劃風險處置計劃包含所有相關(guān)信息：管理任務和職責、管理責任人、風險管理的優(yōu)先等級等等（詳見附錄《風險處置計劃表》）。對組織來講，有一些附加控制在標準中沒有描述，但也是需要的。一個由外部咨詢顧問協(xié)助的風險評估會很有幫助。 控制項的實施通過風險處置計劃的實施，組織應該盡其所能針對等級保護中的標準內(nèi)容在管理、技術(shù)、邏輯、物理和環(huán)境控制方面進行勸止、防護、檢測、糾正、恢復和補償工作。如下表所示。表中
公司管理相關(guān)推薦
鄂ICP備17016276號-1