信息安全風(fēng)險(xiǎn)管理程序-資料下載頁
2025-04-17 07:05本頁面
【正文】 施和保護(hù)性安全措施兩種。預(yù)防性安全措施可以降低威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，如入侵檢測系統(tǒng)；保護(hù)性安全措施可以減少因安全事件發(fā)生對信息系統(tǒng)造成的影響，如業(yè)務(wù)持續(xù)性計(jì)劃。216。 建議控制措施的確認(rèn)與脆弱性識別存在一定的聯(lián)系。一般來說，安全措施的使用將減少脆弱性，但安全措施的確認(rèn)并不需要與脆弱性識別過程那樣具體到每個(gè)資產(chǎn)、組件的脆弱性，而是一類具體措施的集合。 不可接受風(fēng)險(xiǎn)的確定① 通過預(yù)制的風(fēng)險(xiǎn)的可接受準(zhǔn)則，進(jìn)行風(fēng)險(xiǎn)可接受性判定（是否高風(fēng)險(xiǎn)），并生成各部門的《重要資產(chǎn)調(diào)查與風(fēng)險(xiǎn)評估表》表單。② 各部門的《重要資產(chǎn)調(diào)查與風(fēng)險(xiǎn)評估表》經(jīng)本部門負(fù)責(zé)人審核，報(bào)管理者代表批準(zhǔn)。 風(fēng)險(xiǎn)處理① 對風(fēng)險(xiǎn)應(yīng)進(jìn)行處理。對可接受風(fēng)險(xiǎn)，可保持已有的安全措施；如果是不可接受風(fēng)險(xiǎn)（高風(fēng)險(xiǎn)），則需要采取安全措施以降低、控制風(fēng)險(xiǎn)。② 對不可接受風(fēng)險(xiǎn)，應(yīng)采取新的風(fēng)險(xiǎn)處理的措施，規(guī)定風(fēng)險(xiǎn)處理方式、責(zé)任部門和時(shí)間進(jìn)度，高風(fēng)險(xiǎn)應(yīng)得到優(yōu)先的考慮。③ 信息安全管理委員會根據(jù)《重要資產(chǎn)調(diào)查與風(fēng)險(xiǎn)評估表》編制《風(fēng)險(xiǎn)處置計(jì)劃》。④ 信息安全管理委員會根據(jù)《重要資產(chǎn)調(diào)查與風(fēng)險(xiǎn)評估表》編制《風(fēng)險(xiǎn)評估報(bào)告》，陳述信息安全管理現(xiàn)狀，分析存在的信息安全風(fēng)險(xiǎn)，提出信息安全管理（控制）的建議與措施。⑤ 管理者代表考慮成本與風(fēng)險(xiǎn)的關(guān)系，對《風(fēng)險(xiǎn)評估報(bào)告》及《風(fēng)險(xiǎn)處理計(jì)劃》的相關(guān)內(nèi)容審核，對認(rèn)為不合適的控制或風(fēng)險(xiǎn)處理方式等提出說明，由信息安全管理委員會協(xié)同相關(guān)部門重新考慮管理者代表的意見，選擇其他的控制或風(fēng)險(xiǎn)處理方式，并重新提交管理者代表審核批準(zhǔn)實(shí)施。⑥ 各責(zé)任部門按照批準(zhǔn)后的《風(fēng)險(xiǎn)處理計(jì)劃》的要求采取有效安全控制措施，確保所采取的控制措施是有效的。⑦ 如果降低風(fēng)險(xiǎn)所付出的成本大于風(fēng)險(xiǎn)所造成的損失，則選擇接受風(fēng)險(xiǎn)。 剩余風(fēng)險(xiǎn)評估① 對采取安全措施處理后的風(fēng)險(xiǎn)，信息安全管理委員會進(jìn)行再評估，以判斷實(shí)施安全措施后的殘余風(fēng)險(xiǎn)是否已經(jīng)降低到可接受的水平。② 某些風(fēng)險(xiǎn)可能在選擇了適當(dāng)?shù)陌踩胧┖笕蕴幱诓豢山邮艿娘L(fēng)險(xiǎn)范圍內(nèi)，應(yīng)考慮是否接受此風(fēng)險(xiǎn)或進(jìn)一步增加相應(yīng)的安全措施。③ 剩余風(fēng)險(xiǎn)評估完成后，剩余風(fēng)險(xiǎn)報(bào)管理者代表審核、總經(jīng)理批準(zhǔn)。 信息安全風(fēng)險(xiǎn)的連續(xù)評估① 信息安全管理委員會每年應(yīng)組織對信息安全風(fēng)險(xiǎn)重新評估一次，以適應(yīng)信息資產(chǎn)的變化，確定是否存在新的威脅或脆弱性及是否需要增加新的控制措施。② 當(dāng)企業(yè)發(fā)生以下情況時(shí)需及時(shí)進(jìn)行風(fēng)險(xiǎn)評估：216。 當(dāng)發(fā)生重大信息安全事故時(shí)；216。 當(dāng)信息網(wǎng)絡(luò)系統(tǒng)發(fā)生重大更改時(shí)；216。 信息安全管理委員會確定有必要時(shí)。③ 各部門對新增加、轉(zhuǎn)移的或授權(quán)銷毀的資產(chǎn)應(yīng)及時(shí)在《重要信息資產(chǎn)識別表》及《風(fēng)險(xiǎn)評估表》中予以添加或變更。 資產(chǎn)識別參考◎ 資產(chǎn)類別類別資產(chǎn)名稱人員資產(chǎn)總裁/副總裁人員資產(chǎn)部門總經(jīng)理人員資產(chǎn)工程師人員資產(chǎn)項(xiàng)目經(jīng)理人員資產(chǎn)網(wǎng)管人員資產(chǎn)職員軟件資產(chǎn)軟件操作系統(tǒng)軟件資產(chǎn)開發(fā)軟件軟件資產(chǎn)服務(wù)軟件軟件資產(chǎn)財(cái)務(wù)軟件軟件資產(chǎn)工具類軟件軟件資產(chǎn)應(yīng)用軟件軟件資產(chǎn)應(yīng)用程序文件資產(chǎn)合同文件資產(chǎn)驗(yàn)收文檔資料文件資產(chǎn)工程文件文件資產(chǎn)財(cái)務(wù)報(bào)告文件資產(chǎn)投標(biāo)書 文件資產(chǎn)文檔資料文件資產(chǎn)立項(xiàng)申報(bào)書數(shù)據(jù)資產(chǎn)光盤數(shù)據(jù)資產(chǎn)驗(yàn)收資料數(shù)據(jù)資產(chǎn)財(cái)務(wù)數(shù)據(jù)數(shù)據(jù)資產(chǎn)設(shè)備采購工程文檔數(shù)據(jù)資產(chǎn)投標(biāo)書數(shù)據(jù)資產(chǎn)文檔資料電子版數(shù)據(jù)資產(chǎn)員工手冊服務(wù)資產(chǎn)保潔服務(wù)資產(chǎn)網(wǎng)絡(luò)支撐平臺服務(wù)資產(chǎn)網(wǎng)絡(luò)通訊平臺無形資產(chǎn)公司形象無形資產(chǎn)客戶關(guān)系無形資產(chǎn)資質(zhì)證書無形資產(chǎn)榮譽(yù)證書無形資產(chǎn)軟件著作權(quán)登記證書無形資產(chǎn)公司網(wǎng)站實(shí)體資產(chǎn)高管/財(cái)務(wù)/人力資源電腦實(shí)體資產(chǎn)筆記本實(shí)體資產(chǎn)傳真機(jī)實(shí)體資產(chǎn)打印機(jī)實(shí)體資產(chǎn)服務(wù)器（顯示器+主機(jī)）實(shí)體資產(chǎn)復(fù)印機(jī)實(shí)體資產(chǎn)掃描儀實(shí)體資產(chǎn)數(shù)碼相機(jī)實(shí)體資產(chǎn)碎紙機(jī)實(shí)體資產(chǎn)投影儀實(shí)體資產(chǎn)顯示器實(shí)體資產(chǎn)主機(jī)實(shí)體資產(chǎn)電話6 記錄《信息安全風(fēng)險(xiǎn)評估計(jì)劃》ECPISMSJL0301《風(fēng)險(xiǎn)評估報(bào)告》ECPISMSJL0302《資產(chǎn)識別清單》ECPISMSJL0303《重要資產(chǎn)調(diào)查與風(fēng)險(xiǎn)評估表》ECPISMSJL0304《風(fēng)險(xiǎn)處置計(jì)劃》ECPISMSJL0305
公司管理相關(guān)推薦
鄂ICP備17016276號-1