215215215術(shù)有限公司信息安全風(fēng)險評估管理辦法-wenkub.com
2025-04-11 11:38 本頁面
【正文】 在業(yè)務(wù)環(huán)境和安全需求發(fā)生重大變化時，也將對制度進行檢查和更新。5 附則1. 本辦法發(fā)布之日起生效，由信息化管理部信息安全組負(fù)責(zé)編制。相關(guān)組織與部門應(yīng)在信息化管理部信息安全組進行風(fēng)險評估時提供相關(guān)的支持與幫助，積極配合信息安全風(fēng)險評估工作，如果部門不配合相關(guān)的風(fēng)險評估工作，而發(fā)生信息安全事件，綜合部門應(yīng)視情況對該部門進行教育、批評、罰款等處理。2. 全面識別需求所引入的新威脅，分析這些威脅對已經(jīng)經(jīng)過評估的現(xiàn)有資產(chǎn)所造成的影響，如果這些新威脅導(dǎo)致某項資產(chǎn)的風(fēng)險等級超過了2級，則必須采取相應(yīng)的處置措施。 IT需求評估決策流程在評估一個需求（資產(chǎn)）的風(fēng)險時，應(yīng)從兩個角度分別進行評估。表中所列舉的風(fēng)險問題及處置措施隨著新應(yīng)用,新技術(shù)的出現(xiàn),需要不斷更新完善。對組織來講，有一些附加控制在標(biāo)準(zhǔn)中沒有描述，但也是需要的。在完成風(fēng)險評估之后，組織需要在每一個目標(biāo)信息環(huán)境中，對選擇的控制項進行實施，以便遵從ISO/27001標(biāo)準(zhǔn)。在實施安全控制措施后，組織應(yīng)該對安全措施的情況進行評審，即對所選擇的控制在多大程度上降低了風(fēng)險做出判斷。當(dāng)組織根據(jù)風(fēng)險評估的方法，完成實施選擇的控制措施后，會有殘余的風(fēng)險。2. 降低風(fēng)險：實施有效控制，將風(fēng)險降低到可接受的程度，實際上就是力圖減少威脅發(fā)生的可能性和帶來的影響，包括：l 減少威脅：例如，建立并實施惡意軟件控制程序，減少信息系統(tǒng)受惡意軟件攻擊的機會；l 減少弱點：例如，通過安全教育和意識培訓(xùn)，強化職員的安全意識與安全操作能力；l 降低影響：例如，制定災(zāi)難回復(fù)計劃和業(yè)務(wù)連續(xù)性計劃，做好備份。這些決定應(yīng)加以記錄。 風(fēng)險處置 概述風(fēng)險的處置方法依照風(fēng)險程度，根據(jù)風(fēng)險等級來采取不同的處置方法。 風(fēng)險計算采用下面的算術(shù)方法來得到信息資產(chǎn)的風(fēng)險值：風(fēng)險值 ＝ 資產(chǎn)值 威脅值 弱點值風(fēng)險等級與風(fēng)險值對應(yīng)關(guān)系參考下圖：風(fēng)險級別列表風(fēng)險等級風(fēng)險取值范圍4很高464一旦發(fā)生將產(chǎn)生非常嚴(yán)重的經(jīng)濟或社會影響，如組織信譽嚴(yán)重破壞、嚴(yán)重影響組織的正常經(jīng)營，經(jīng)濟損失重大。 威脅賦值威脅發(fā)生的可能性是一個動態(tài)的，需要綜合分析得出，在此可采用如下最佳實踐的賦值標(biāo)準(zhǔn)，通過實際經(jīng)驗對威脅的可能性賦值。物理攻擊物理接觸、物理破壞、盜竊。管理不到位安全控制無法落實，不到位，造成安全控制不規(guī)范，或者管理混亂，從而破壞信息系統(tǒng)正常有序運行。威脅種類列表威脅種類威脅描述軟硬件故障由于設(shè)備硬件故障、通訊鏈路中斷、系統(tǒng)本身或軟件Bug導(dǎo)致對業(yè)務(wù)高效穩(wěn)定運行的影響。第三方第三方合作伙伴和供應(yīng)商，包括業(yè)務(wù)合作伙伴以及軟件開發(fā)合作伙伴、系統(tǒng)集成商、服務(wù)商和產(chǎn)品供應(yīng)商；包括第三方惡意的和無惡意的行為。環(huán)境因素包括自然界的不可抗力因素和其它物理因素。賦值標(biāo)準(zhǔn)參照下表。弱點的發(fā)現(xiàn)隨著新應(yīng)用,新技術(shù)的出現(xiàn),需要不斷更新完善弱點列表。當(dāng)發(fā)生重大的信息安全事件，信息安全管理組應(yīng)在事后進行一次全面的安全檢查，并通過安全檢查結(jié)果對重要的安全問題進行及時解決。信息安全檢查工作開展前，信息安全管理組需制定安全檢查計劃，對于部分可用性要求高的業(yè)務(wù)系統(tǒng)或設(shè)備，計劃中要明確執(zhí)行的時間，并且該計劃要通知相關(guān)部門與系統(tǒng)維護人員，明確相關(guān)人員的及部門的職責(zé)與注意事項。 弱點檢查信息安全管理組應(yīng)定期對集團IT系統(tǒng)進行全面的信息安全弱點檢查，了解各IT系統(tǒng)的信息安全現(xiàn)狀。其他部門協(xié)助信息安全管理執(zhí)行組開展信息安全風(fēng)險評估工作。**信息安全風(fēng)險評估管理辦法目錄1 總則 32 組織與責(zé)任 33 信息安全風(fēng)險評估規(guī)定 3 弱點分析 3 概述 3 弱點檢查 3 弱點賦值 5 威脅分析 5 概述 5 威脅來源分析 5 威脅種類分析 6 威脅賦值 7 風(fēng)險計算 8 概述 8 風(fēng)險計算 8 風(fēng)險處置 9 概述 9 風(fēng)險處置方法 9 風(fēng)險處置流程 10 IT需求評估
公司管理相關(guān)推薦
鄂ICP備17016276號-1