信息安全風(fēng)險管理程序-wenkub.com
2025-04-14 07:05 本頁面
【正文】 在業(yè)務(wù)環(huán)境和安全需求發(fā)生重大變化時，也將對本規(guī)定進(jìn)行檢查和更新。第二十五條 技術(shù)管理辦公室根據(jù)業(yè)務(wù)需求和風(fēng)險情況制定可接受風(fēng)險準(zhǔn)則，并獲得信息安全管理委員會批準(zhǔn)，對于不可接受風(fēng)險增加風(fēng)險化解措施，例如：l 增加新的安全控制措施；l 變更現(xiàn)有的安全控制措施；l 增加新的控制目標(biāo)、控制措施、過程和程序；l 資源的調(diào)配安排。第六章 風(fēng)險管理要求第二十二條 全面的風(fēng)險評估和管理要至少每年進(jìn)行一次。風(fēng)險處理計劃中明確應(yīng)采取的彌補(bǔ)弱點的安全措施、預(yù)期效果、實施條件、進(jìn)度安排、責(zé)任部門等。決策者可以在繼續(xù)處置需要的成本和風(fēng)險之間進(jìn)行抉擇。（2）降低風(fēng)險：在某些情況下，可以決定通過合同、要求、規(guī)范、法律、監(jiān)察、管理、測試、技術(shù)開發(fā)、技術(shù)控制等措施來減小風(fēng)險的可能性，來達(dá)到減小風(fēng)險的目的。風(fēng)險類別風(fēng)險子類資產(chǎn)名稱資產(chǎn)賦值威脅類型威脅賦值脆弱性描述脆弱性賦值影響描述影響賦值風(fēng)險描述風(fēng)險值風(fēng)險級別管理類風(fēng)險技術(shù)類風(fēng)險運維類風(fēng)險表7：風(fēng)險點收集表通過技術(shù)、管理、運維各方面風(fēng)險點的綜合定性分析，我們將風(fēng)險項合并歸類，總結(jié)出相應(yīng)的風(fēng)險項并進(jìn)行編號，風(fēng)險的編號按照類別進(jìn)行劃分，以字母“R”開頭（Risk），第二個字母為風(fēng)險類別，如管理風(fēng)險為RM為前綴，后綴以數(shù)字為序列、技術(shù)風(fēng)險以RT為前綴，后綴以數(shù)字為序列、運維風(fēng)險以RO為前綴，后綴以數(shù)字為序列。相乘法提供一種定量的計算方法，直接使用兩個要素值進(jìn)行相乘得到另一個要素的值。(一) 風(fēng)險分析方法風(fēng)險分析方法可以是定性分析、半定量分析或定量分析，或者是這些分析方法的組合。賦值標(biāo)準(zhǔn)參照下表。脆弱性分類脆弱性子類脆弱性編號脆弱性類型管理脆弱性組織管理VP01IT治理機(jī)制不夠完善VP02缺乏總體IT規(guī)劃VP03缺乏安全方針VP04缺乏組織范圍內(nèi)統(tǒng)一的安全策略VP05缺乏可執(zhí)行性的安全程序VP06安全技術(shù)與管理措施不能有效結(jié)合VP07沒有科學(xué)有效的資產(chǎn)管理或配置管理VP08沒有跨部門的協(xié)調(diào)組織VP09沒有負(fù)責(zé)安全管理部門VP10沒有建立完善的溝通交流機(jī)制VP11組織的重要記錄沒有得到保護(hù)VP12業(yè)務(wù)流程設(shè)計沒有既定明確的要求人員管理VH01人員知識水平缺乏VH02人員技能缺乏VH03人員安全意識缺乏VH04人員敬業(yè)精神不夠VH05不能遵守操作規(guī)程VH06道德風(fēng)險VH07人員流動頻繁VH08沒有簽訂協(xié)議VH09沒有背景調(diào)查VH10崗位職責(zé)中沒有安全要求VH11安全無法與員工績效掛鉤VH12人員缺乏職責(zé)分離VH13沒有人員備份機(jī)制VH14缺乏對員工行為的審計技術(shù)脆弱性物理環(huán)境VE01電力單路VE02線路暴露VE03場所很容易進(jìn)入VE04場所監(jiān)控有盲點VE05場所易受雷擊VE06場所易進(jìn)水VE07場所易燃燒VE08場所不抗震VE09電力容量不夠VE10場地不夠硬件VM01設(shè)備易受電力變化影響VM02設(shè)備、介質(zhì)易損壞VM03電源開關(guān)沒有限制未經(jīng)授權(quán)的使用VM04存儲空間不夠VM05運算能力不夠VM06信號輻射VM07設(shè)備性能差VM08存在單點故障VM09口令更改周期較長VM10線路輻射VM11協(xié)議開放VM12明文傳輸VM13隨意接入VM14口令簡單VM15協(xié)議漏洞VM16帶寬不夠VM17很容易進(jìn)入VM18可用性差VM19SNMP的Community值為缺省VM20無網(wǎng)絡(luò)流量監(jiān)控管理措施VM21缺少處置、報廢規(guī)定軟件及應(yīng)用系統(tǒng)VS01系統(tǒng)沒有及時更新補(bǔ)丁VS02系統(tǒng)開放默認(rèn)服務(wù)和端口VS03系統(tǒng)存在可疑服務(wù)和端口VS04系統(tǒng)管理員和用戶弱口令或空口令VS05系統(tǒng)沒有實現(xiàn)賬號實名制VS06系統(tǒng)沒有開放審計日志功能VS07系統(tǒng)沒有啟用安全選項VS08系統(tǒng)沒有啟用帳戶密碼安全策略VS09系統(tǒng)使用默認(rèn)共享VS10系統(tǒng)無權(quán)限控制措施VS11特權(quán)賬戶沒有控制VS12版本較低VS13存在弱密碼或空密碼VS14系統(tǒng)漏洞VS15配置漏洞VS16存在后門VS17沒有數(shù)據(jù)加密功能VS18軟件架構(gòu)缺陷VS19很容易變更業(yè)務(wù)設(shè)計和流程VB01業(yè)務(wù)流程缺陷VB02業(yè)務(wù)邏輯錯誤VB03業(yè)務(wù)系統(tǒng)設(shè)計性能不足VB04業(yè)務(wù)系統(tǒng)功能實現(xiàn)不足VB05業(yè)務(wù)系統(tǒng)缺乏審計和記錄VB06業(yè)務(wù)系統(tǒng)缺乏連續(xù)性計劃服務(wù)VR01缺乏服務(wù)水平協(xié)議VR02服務(wù)不符合業(yè)務(wù)需求VR03服務(wù)響應(yīng)不及時VR04服務(wù)易中斷VR05沒有按照規(guī)范執(zhí)行VR06服務(wù)成本太高其他法規(guī)法規(guī)VL01沒有識別相應(yīng)的法律、法規(guī)VL02不符合法律法規(guī)要求信息類VI01信息缺乏準(zhǔn)確性VI02信息缺乏及時性VI03信息容易傳播VI04信息容易毀損VI05信息容易丟失無形資產(chǎn)類VT01恢復(fù)困難VT02容易受到損害表3：脆弱性類別列表（三）脆弱性屬性參照國際安全標(biāo)準(zhǔn)，本管理辦法將脆弱性屬性定義為脆弱性的嚴(yán)重性，既脆弱性被某些威脅利用后產(chǎn)生的影響的嚴(yán)重程度， （三）脆弱性賦值在CVE和業(yè)
公司管理相關(guān)推薦
鄂ICP備17016276號-1