信息安全風(fēng)險(xiǎn)評(píng)估流程-資料下載頁(yè)
2025-02-28 17:14本頁(yè)面
【正文】 、 類(lèi)型及嚴(yán)重程度等； （ 7） 已有安全措施確認(rèn)表：根據(jù)已采取的安全措施確認(rèn)的結(jié)果 ， 形成已有安全措施確認(rèn)表 ， 包括已有安全措施名稱 、 類(lèi)型 、 功能描述及實(shí)施效果等； （ 8） 風(fēng)險(xiǎn)評(píng)估報(bào)告：對(duì)整個(gè)風(fēng)險(xiǎn)評(píng)估過(guò)程和結(jié)果進(jìn)行總結(jié) ， 詳細(xì)說(shuō)明被評(píng)估對(duì)象 ， 風(fēng)險(xiǎn)評(píng)估方法 ， 資產(chǎn) 、 威脅 、 脆弱性的識(shí)別結(jié)果 ， 風(fēng)險(xiǎn)分析 、風(fēng)險(xiǎn)統(tǒng)計(jì)和結(jié)論等內(nèi)容； （ 9） 風(fēng)險(xiǎn)處理計(jì)劃：對(duì)評(píng)估結(jié)果中不可接受的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)處理計(jì)劃 ，選擇適當(dāng)?shù)目刂颇繕?biāo)及安全措施 ， 明確責(zé)任 、 進(jìn)度 、 資源 ， 并通過(guò)對(duì)殘余風(fēng)險(xiǎn)的評(píng)價(jià)確保所選擇安全措施的有效性； （ 10）風(fēng)險(xiǎn)評(píng)估記錄：根據(jù)組織的風(fēng)險(xiǎn)評(píng)估程序文件，記錄對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)評(píng)估過(guò)程。 五、風(fēng)險(xiǎn)評(píng)估工作的要點(diǎn) 第一，各級(jí)領(lǐng)導(dǎo)對(duì)評(píng)估工作的重視。風(fēng)險(xiǎn)評(píng)估工作只有得到各級(jí)領(lǐng)導(dǎo)的廣泛認(rèn)同和支持，才能順利地開(kāi)展并卓有成效地進(jìn)行，獲得客觀、真實(shí)和有效的評(píng)估結(jié)果，作為今后信息安全建設(shè)的重要參考依據(jù)。 第二，加強(qiáng)評(píng)估工作的組織和管理。信息安全風(fēng)險(xiǎn)評(píng)估工作啟動(dòng)后，應(yīng)及時(shí)組建評(píng)估項(xiàng)目組，加強(qiáng)對(duì)整個(gè)評(píng)估工作的組織和管理。項(xiàng)目組主要包括項(xiàng)目領(lǐng)導(dǎo)小組、項(xiàng)目負(fù)責(zé)人和項(xiàng)目工作小組。 做好風(fēng)險(xiǎn)評(píng)估工作，特別要注意以下五方面的工作： 五、風(fēng)險(xiǎn)評(píng)估工作的要點(diǎn) 第三，注意評(píng)估過(guò)程中的風(fēng)險(xiǎn)控制。評(píng)估工作過(guò)程中所面臨的風(fēng)險(xiǎn)，主要是敏感信息泄露和評(píng)估過(guò)程中的各種技術(shù)性評(píng)估帶來(lái)的。 規(guī)避敏感信息泄露風(fēng)險(xiǎn)，主要應(yīng)該注意幾點(diǎn)： ?參與評(píng)估的人員必須遵守國(guó)家有關(guān)信息安全的法律法規(guī)以及總行關(guān)于信息安全的相關(guān)管理規(guī)定，承擔(dān)相應(yīng)的義務(wù)和責(zé)任； ?被評(píng)估方應(yīng)與參與評(píng)估的所有人員簽訂具有法律約束力的保密協(xié)議； ?評(píng)估過(guò)程中做好審核確認(rèn)工作。對(duì)于規(guī)避技術(shù)性評(píng)估所帶來(lái)的風(fēng)險(xiǎn)，例如進(jìn)行漏洞掃描有時(shí)引起掃描對(duì)象宕機(jī)等，在制訂各種技術(shù)性評(píng)估方案時(shí)，應(yīng)當(dāng)由被評(píng)估方和評(píng)估方共同審核確認(rèn)，盡量避免采取可能造成不良影響的操作，最好事先經(jīng)過(guò)測(cè)試。 五、風(fēng)險(xiǎn)評(píng)估工作的要點(diǎn) 第四，做好各方的協(xié)調(diào)配合工作。信息安全風(fēng)險(xiǎn)評(píng)估工作涉及信息系統(tǒng)的主管部門(mén)、建設(shè)單位或上級(jí)機(jī)關(guān)、運(yùn)行維護(hù)部門(mén)、使用部門(mén)、安全管理部門(mén)和保密部門(mén)以及技術(shù)支持單位和產(chǎn)品或服務(wù)提供商。因此需要高層領(lǐng)導(dǎo)直接組織，需要被評(píng)估方和評(píng)估方的密切配合，相互支持。 五、風(fēng)險(xiǎn)評(píng)估工作的要點(diǎn) 第五，提供評(píng)估所必須的保障條件。在評(píng)估過(guò)程中，要考慮完成信息安全風(fēng)險(xiǎn)評(píng)估工作的相關(guān)保障條件，包括人員、時(shí)間和經(jīng)費(fèi)等。人員保障主要涉及完成風(fēng)險(xiǎn)評(píng)估工作的相關(guān)人員。評(píng)估工作小組的人員可以從被評(píng)估方的技術(shù)部門(mén)選派，也可選擇國(guó)內(nèi)可以信賴的第三方專(zhuān)業(yè)評(píng)估機(jī)構(gòu)。特殊需要的專(zhuān)業(yè)技術(shù)人員可以根據(jù)評(píng)估工作的需要臨時(shí)抽調(diào)。為了使評(píng)估結(jié)果真實(shí)、客觀、有效，需要有一定的時(shí)間保障，尤其是評(píng)估準(zhǔn)備階段，需要花較長(zhǎng)的時(shí)間精心準(zhǔn)備。此外，風(fēng)險(xiǎn)評(píng)估還要有一定的經(jīng)費(fèi)支持，可能涉及咨詢、技術(shù)服務(wù)、培訓(xùn)、管理、購(gòu)置評(píng)估專(zhuān)用設(shè)備、購(gòu)置工具和軟件等費(fèi)用。 THANKS 演講完畢，謝謝觀看！
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1