某信息安全技術公司風險評估概述(參考版)
2025-01-27 17:07本頁面
【正文】 ? 末次會議的任務在于：向受評估方介紹評估的情況；報告評估發(fā)現(xiàn)（重大風險點）和評估結論；提出后續(xù)工作的建議（糾正措施等）；結束現(xiàn)場評估?；蛘呤窃谡麄€評估過程中，定期（每天結束時）召開評估小組碰頭會 ? 同一評估小組的成員參加 ? 會議期間討論當前的評估結果 ? 溝通評估信息、線索 ? 協(xié)調評估方向，控制評估實施按計劃進行 ? 評估組長作評估總結準備。不符合項報告是對現(xiàn)場評估得到的評估發(fā)現(xiàn)進行評審并 經(jīng)過受評估方確認 的對不符合項的陳述，是最終的評估報告的一部分，是評估小組提交給委托方或受評估方的正式文件。 ? 評估進行到適當階段，評估組長應該主持召開評估小組會議，借此了解各個評估員的工作進展，提出下一步工作要求，協(xié)調有關活動，并對已獲得的評估證據(jù)和評估發(fā)現(xiàn)展開分析和討論。 ? 評估期間，評估員應該做好筆記和記錄，這些記錄是評估員提出報告的真憑實據(jù)。 ? 技術評估安排在對系統(tǒng)影響較小的時間進行 58 實施現(xiàn)場評估 ? 首次會議之后，即可進入現(xiàn)場評估。 ? 在技術掃描過程中，需要系統(tǒng)管理員全程陪同。 56 首次會議議程及內容 57 風險評估原則 ? 在風險評估前，需要對技術評估的風險進行重審。 ? 首次會議由評估組長主持，評估小組要向組織的相關人員介紹評估計劃、具體內容、評估方法，并協(xié)調、澄清有關問題。 ? 檢查列表在信息安全管理體系內部評估中起著以下重要作用： ? 明確與評估目標有關的抽樣問題； ? 使評估程序規(guī)范化，減少評估工作的隨意性和盲目性； ? 保證評估目標始終明確，突出重點，避免在評估過程中因迷失方向而浪費時間； ? 更好地控制評估進度； ? 檢查列表、評估計劃和評估報告一起，都作為評估記錄而存檔。 51 評估員檢查工具 —— 檢查列表 ? 檢查列表（ Checklist）是評估員進行評估時必備的自用工具，是評估前需準備的一個重要工作文件。 ? 技術評估 ：評估員可以采用各種技術手段，對技術性控制的效力及符合性進行評估。 ? 人員訪談 ：與受評估方人員進行面談，評估員可以了解其職責范圍、工作陳述、基本安全意識、對安全管理獲知的程度等信息。 ? 文件評估 ：評估員在現(xiàn)場評估之前，應該對受評估方與信息安全管理活動相關的所有文件進行審查，包括安全方針和目標、程序文件、作業(yè)指導書和記錄文件。 評估小組 評估組長 評估組員 評估活動 時間 負責人 備注 填寫信息資產(chǎn)采集表 X月上旬 實施風險評估過程 X月中旬 不符合項及高危風險糾正 X月末 各相關部門負責人 跟蹤驗證 X月上旬 評估小組 召開風險評估整改會議 X月下旬 信息部領導 編制 編寫者 時間 年 月 日 評估 評估者 （信息按照專責簽字） 時間 年 月 日 批準 批準者 （信息部門領導簽字） 時間 年 月 日 47 風險評估實施計劃示例 評估目的 對 ISMS進行內部評估，為體系糾正提供依據(jù)，為管理評審提供輸入 評估范圍 評估準則 《 廣東電網(wǎng)公司信息安全管理辦法 》《 ISO27001信息安全管理體系 》 。 ? 評估實施計劃是對特定評估活動的具體安排，內容通常包括： ? 目的、范圍、準則、評估組成員及分工、評估時間和地點、首末次會議及報告時間 ? 評估計劃應以文件形式頒發(fā)，評估實施計劃應該有評估組長簽名并得到主管領導的批準。 ? 時間安排 ：評估時間避免與重要業(yè)務活動發(fā)生沖突。 ?完成掃描后 ,檢查風險評估后系統(tǒng)的安全性和穩(wěn)定性 44 風險評估項目實施過程 計劃 準備 實施 報告 跟蹤 45 制定評估計劃 ? 評估計劃分年度計劃和具體的實施計劃，前者通常是評估策劃階段就需要完成的，是整個評估活動的總綱，而具體的評估實施計劃則是遵照年度評估計劃而對每次的評估活動所作的實施安排。 ? 負責配合顧問提供風險評估相關的工作環(huán)境、評估實現(xiàn)條件； ?備份系統(tǒng)數(shù)據(jù) 。 安全保障體系建設 安 全 成本 效率 安全 效率曲線 安全 成本曲線 要研究建設信息安全的綜合成本與信息安全風險之間的平衡，而不是要片面追求不切實際的安全不同的信息系統(tǒng)，對于安全的要求不同，不是 “ 越安全越好 ” 信息安全保障能力成長階段 成熟度 時間 盲目自信 階段 認知階段 改進階段 卓越運營 階段 福布斯 2023強企業(yè)在不同階段的百分比分布 來源： Gartner Inc. 2023年 1月 30% 50% 15% 5% 能力成長階段的劃分 ? 盲目自信階段 ? 普遍缺乏
環(huán)評公示相關推薦
鄂ICP備17016276號-1