風險管理與信息安全風險評估(編輯修改稿)
2025-06-23 11:43 本頁面
【文章內容簡介】 高信息系統(tǒng)防護能力，滿足信息安全需求，逐步建成有中國特色的風險評估體系。 ? 評估我國基礎信息網絡和重要信息系統(tǒng)，掌握我國基礎信息網絡和重要信息系統(tǒng)的安全狀態(tài)，及時采取合適的應對措施，保障它們的正常運行。 ? 通過對國家級重點電子政務系統(tǒng)、電子商務系統(tǒng)以及重要信息基礎設施的風險評估工作，從中摸索經驗，不斷探索，逐步完善我國風險評估工作的管理機制。 來自 載 四、建立風險評估基本管理制度的建議 ? 風險評估制度。 包括信息系統(tǒng)在設計階段要進行風險評估以確定系統(tǒng)的安全目標；在建設驗收階段要進行風險評估以確定系統(tǒng)的安全目標達到與否；在運行維護階段要針對安全形勢和問題定期或不定期地不斷進行風險評估以確定安全措施的有效性，確保安全保障目標始終如一得以實現。 ? 信息安全檢查制度與自評估制度 。 ? 信息安全檢查由信息安全主管機關或信息系統(tǒng)上級主管機關發(fā)起，依據國家風險評估的管理規(guī)范和技術標準進行的檢查評估 ,通過行政手段加強信息安全的重要措施。包括安全保密檢查、生產安全檢查、專項檢查等。 ? 自評估是信息系統(tǒng)運營或應用單位依靠自身力量，依據國家風險評估的管理規(guī)范和技術標準，對系統(tǒng)進行風險評估的工作。 ? 系統(tǒng)安全準入制度 。按照誰主管誰負責、誰運營誰負責的要求，信息系統(tǒng)上級主管機關依據自評估或信息安全檢查的結果，決定是否批準信息系統(tǒng)投入建設或運行。信息系統(tǒng)安全準入工作應納入基礎信息網絡和重要信息系統(tǒng)安全管理體系。 來自 載 我國風險評估的幾項任務 ? 建立風險評估基本管理制度 ? 加強風險評估工作隊伍的建設 ? 加強風險評估工作隊伍的建設是做好風險評估工作的前提。建議在條件相對成熟的情況下，在已有基礎上，整合資源，形成一支承擔國家基礎信息網絡和重要信息系統(tǒng)的風險評估的骨干力量，負責國家基礎信息網絡和重要信息系統(tǒng)風險評估工作。 ? 提出信息安全等級保護和風險評估相關聯(lián)的指導原則 ? 針對不同的信息系統(tǒng)實施信息安全等級保護的重要原則，要針對不同信息安全等級的信息系統(tǒng)，提出進行風險評估工作所遵循的相應評估準則、工作模式和工作流程，作為各部門、各單位安全風險評估指南的補充，同時豐富和完善對不同類型、不同等級的信息系統(tǒng)實施信息安全等級保護的具體內容。 來自 載 落實風險評估建設的相關措施 ? 加強法規(guī)建設和標準化工作 ? 按照我國信息化發(fā)展需求，逐步完善我國風險評估相關的法律法規(guī)體系，形成和完善滿足我國信息化建設需要的風險評估標準體系，規(guī)范我國風險評估執(zhí)法主體行為，實現管理法制化和規(guī)范化。 ? 保證風險評估工作必要的經費 ? 通過國家財政正式立項，對國家基礎網絡和重要信息系統(tǒng)風險評估工作、國家安全風險評估試點示范項目、相關法規(guī)和標準研究和相關基礎研究與人才培訓等項目給予資金支持，保證配套經費的落實。 ? 統(tǒng)籌建設國家風險評估的基礎設施和基礎環(huán)境 ? 統(tǒng)籌建設國家基礎信息網絡和重要信息系統(tǒng)風險評估的基礎設施和基礎環(huán)境，將風險評估國家重點實驗室的建設納入國家信息安全保障基礎設施的建設規(guī)劃，構建風險分析試驗環(huán)境，組織研制開發(fā)科學、實用的檢查、評估工具，開展風險評估技術、理論、標準的研究 。建立國家風險評估數據庫，積累資料，全面提高國家風險評估水平。 ? 加強風險評估核心技術研究與攻關研究 ? 國家要加強風險評估核心技術研究與攻關，通過技術創(chuàng)新，增強風險評估核心技術的競爭力，適應時代發(fā)展的要求，力爭在近幾年內在核心環(huán)節(jié)有較大的突破 。 來自 載 提綱 一、信息化風險及風險管理研究 二：信息安全風險評估貴在實踐 三、試點經驗寶貴 來自 載 研究了試點工作目的 ? 試點工作的目的是 : ? 在現有管理體制下，摸索如何開展信息安全風險評估工作，檢驗草擬的風險評估相關標準規(guī)范的可行性與可用性，為全面推廣信息安全風險評估工作和國家出臺 《 關于信息安全風險評估工作意見 》 做前期準備。 ? 在試點工作中將探討以下問題： ? 探索風險評估管理機制的建設，研究如何落實中辦發(fā) 27號文件“ 誰主管誰負責誰運營誰負責 ” 的原則， 包括信息安全風險評
教學課件相關推薦
鄂ICP備17016276號-1