信息安全風(fēng)險評估國家標(biāo)準(zhǔn)編制(參考版)
2025-03-02 18:20本頁面
【正文】 信 息 安 全 風(fēng) 險評 估 國 家 標(biāo) 準(zhǔn)信 息 安 全 風(fēng) 險評 估 指 南信 息 安 全 風(fēng) 險管 理 指 南相 關(guān) 技 術(shù) 層 面 的細(xì) 則 和 規(guī) 范重 點 行 業(yè) 的 風(fēng) 險管 理 標(biāo) 準(zhǔn) 信 息 系 統(tǒng) 各 生 命 周期 的 風(fēng) 險 管 理 標(biāo) 準(zhǔn) 風(fēng) 險 管 理 標(biāo) 準(zhǔn)體 系 研 究其 他信 息 系 統(tǒng) 各 生 命 周期 的 風(fēng) 險 評 估 標(biāo) 準(zhǔn) 重 點 行 業(yè) 的 風(fēng) 險評 估 標(biāo) 準(zhǔn) 相 關(guān) 技 術(shù) 層 面 的細(xì) 則 和 規(guī) 范風(fēng) 險 評 估 標(biāo) 準(zhǔn)體 系 研 究其 他60 進(jìn)行 國家信息安全風(fēng)險評估基礎(chǔ)環(huán)境 立項 ,以保證風(fēng)險評估工作能夠依據(jù)標(biāo)準(zhǔn)科學(xué)、規(guī)范地展開。 三、下一步工作的幾點思考 59 總之，將繼續(xù)跟蹤國內(nèi)外相關(guān)領(lǐng)域的最新技術(shù)發(fā)展動態(tài)，進(jìn)一步研究完善信息安全風(fēng)險評估標(biāo)準(zhǔn)體系，進(jìn)行相關(guān)標(biāo)準(zhǔn)的編制工作。 廢棄階段風(fēng)險評估著重在以下幾方面： 確保硬件和軟件等資產(chǎn)及殘留信息得到了適當(dāng)?shù)奶幹?，并確保系 統(tǒng)組件被合理地丟棄或更換； 如果被廢棄的系統(tǒng)是某個系統(tǒng)的一部分，或與其他系統(tǒng)存在物理 或邏輯上的連接，還應(yīng)考慮系統(tǒng)廢棄后與其他系統(tǒng)的連接是否被 關(guān)閉； 如果在系統(tǒng)變更中廢棄，除對廢棄部分外，還應(yīng)對變更的部分進(jìn) 行評估，以確定是否會增加風(fēng)險或引入新的風(fēng)險； 是否建立了流程，確保更新過程在一個安全、系統(tǒng)化的狀態(tài)下完 成。 56 廢棄階段的風(fēng)險評估 當(dāng)信息系統(tǒng)不能滿足現(xiàn)有要求時，信息系統(tǒng)進(jìn)入廢棄階段。包括運行環(huán)境中物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、安全保障設(shè)備、管理等各方面的脆弱性。包括實施階段采購的軟硬件資產(chǎn)、系統(tǒng)運行過程中生成的信息資產(chǎn)、相關(guān)的人員與服務(wù)等，本階段資產(chǎn)識別是前期資產(chǎn)識別的補(bǔ)充與增加； 威脅評估：應(yīng)全面地分析威脅的可能性和影響程度。評估內(nèi)容包括對真實運行的信息系統(tǒng)、資產(chǎn)、威脅、脆弱性等各方面。實施階段風(fēng)險評估主要對系統(tǒng)的開發(fā)與技術(shù) /產(chǎn)品獲取、系統(tǒng)交付實施兩個過程進(jìn)行評估。根據(jù)設(shè)計階段分析的威脅和制定的安全措施，在實施及驗收時進(jìn)行質(zhì)量控制。設(shè)計階段的風(fēng)險評估結(jié)果應(yīng)對設(shè)計方案中所提供的安全功能符合性進(jìn)行判斷，作為采購過程風(fēng)險控制的依據(jù)。規(guī)劃階段的評估應(yīng)能夠描述信息系統(tǒng)建成后對現(xiàn)有業(yè)務(wù)模式的作用，包括技術(shù)、管理等方面，并根據(jù)其作用確定系統(tǒng)建設(shè)應(yīng)達(dá)到的安全目標(biāo)。如在網(wǎng)絡(luò)與信息系統(tǒng)規(guī)劃設(shè)計階段，應(yīng)通過信息安全風(fēng)險評估進(jìn)一步明確安全需求和安全目標(biāo)。 49 風(fēng)險評估怎么做 風(fēng)險評估實施流程 風(fēng)險評估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險評估 50 國 信辦 [2023]5號文件指出： 信息安全 風(fēng)險評估應(yīng)貫穿于網(wǎng)絡(luò)與信息系統(tǒng)建設(shè)運行的全過程。 基于以上原因，委托評估技術(shù)支持比委托評估的提法更為切合實際。 檢查評估可依據(jù)本標(biāo)準(zhǔn)的要求，實施完整的風(fēng)險評估過程。 46 此外，為保證風(fēng)險評估的實施，與系統(tǒng)相連的相關(guān)方也應(yīng)配合，以防止給其他方的使用帶來困難或引入新的風(fēng)險也往往較多，因此，要對實施檢查評估機(jī)構(gòu)的資質(zhì)進(jìn)行嚴(yán)格管理。因此 ， 自評估中的 “ 自 ” 的含義是自已負(fù)責(zé)的 “ 自 ” 。 45 自評估中的 “ 自 ” 不僅僅是指自已做評估的 “ 自 ” ， 也不僅僅是指自愿做評估的 “ 自 ” 。委托風(fēng)險評估服務(wù)技術(shù)支持方實施的評估，過程比較規(guī)范、評估結(jié)果的客觀性比較好，可信程度較高；但由于受到行業(yè)知識技能及業(yè)務(wù)了解的限制，對被評估系統(tǒng)的了解，尤其是在業(yè)務(wù)方面的特殊要求存在一定的局限。 風(fēng)險評估的形式 44 自評估 自 評估可由發(fā)起方實施或委托風(fēng)險評估服務(wù)技術(shù)支持方實施。自評估為主，自評估和檢查評估相互結(jié)合、互為補(bǔ)充。并為防范和化解信息安全風(fēng)險，或者將風(fēng)險控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)和信息安全提供科學(xué)依據(jù)。 35 風(fēng) 險評估可以不斷深入地發(fā)現(xiàn)系統(tǒng)建設(shè)中的安全隱患，采取或完善更加經(jīng)濟(jì)有效的安全保障措施，來 消除安全建設(shè)中的盲目樂觀或盲目恐懼，提出有針對性的從實際出發(fā)的解決方法，提高系統(tǒng)安全的科學(xué)管理水平，進(jìn)而全面提升網(wǎng)絡(luò)與信息系統(tǒng)的安全保障能力。 33 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險評估 為什么要做風(fēng)險評估 風(fēng)險評估怎么做 34 為什么要做風(fēng)險評估 安 全源于風(fēng)險 。 （ 1）業(yè)務(wù)戰(zhàn)略的實現(xiàn)對資產(chǎn)具有依賴性，
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1