信息安全風險評估培訓(參考版)
2025-03-02 18:20本頁面
【正文】 u 末次會議的任務在于：向受評估方介紹評估的情況；報告評估發(fā)現（重大風險點）和評估結論；提出后續(xù)工作的建議（糾正措施等）；結束現場評估。 從體系運行狀況對影響情況進行分析216。 從發(fā)現的風險進行分析（發(fā)生的部門、要素、性質、類型）216。或者是在整個評估過程中，定期（每天結束時）召開評估小組碰頭會u 同一評估小組的成員參加u 會議期間討論當前的評估結果u 溝通評估信息、線索u 協調評估方向，控制評估實施按計劃進行u 評估組長作評估總結準備。 不符合項描述務必清楚明白，便于追溯216。 有誰在場？或者和誰有關？描述相關人員、職位216。 在哪里發(fā)現的？描述相關區(qū)域、文件、記錄、設備216。不符合項報告是對現場評估得到的評估發(fā)現進行評審并 經過受評估方確認 的對不符合項的陳述，是最終的評估報告的一部分，是評估小組提交給委托方或受評估方的正式文件。u 評估進行到適當階段，評估組長應該主持召開評估小組會議，借此了解各個評估員的工作進展，提出下一步工作要求，協調有關活動，并對已獲得的評估證據和評估發(fā)現展開分析和討論。u 評估期間，評估員應該做好筆記和記錄，這些記錄是評估員提出報告的真憑實據。u 技術評估安排在對系統(tǒng)影響較小的時間進行76實施現場評估實施現場評估u 首次會議之后，即可進入現場評估。u 在技術掃描過程中，需要系統(tǒng)管理員全程陪同。 74首次會議議程及內容首次會議議程及內容75風險評估原則u 在風險評估前，需要對技術評估的風險進行重審。u 首次會議由評估組長主持，評估小組要向組織的相關人員介紹評估計劃、具體內容、評估方法，并協調、澄清有關問題。WireShark /Ethereal216。綠盟極光漏洞掃描器216。Nessus 掃描器216。 檢查列表、評估計劃和評估報告一起，都作為評估記錄而存檔。 保證評估目標始終明確，突出重點，避免在評估過程中因迷失方向而浪費時間；216。 明確與評估目標有關的抽樣問題；216。u 在實施評估之前，評估員將根據分工情況來準備各自在現場評估所需的檢查列表，檢查列表的內容，取決于評估主題和被評估部門的職能、范圍、評估方法及要求。這些技術性措施包括：自動化的掃描工具、網絡拓撲結構分析、本地主機審查、滲透測試等。評估員進行人員訪談時要做好記錄和總結，必要時要和訪談對象進行確認。u 現場觀察 ：評估員到現場參觀，可以觀察并獲取關于現場物理環(huán)境、信息系統(tǒng)的安全操作和各類安全管理活動的第一手資料。評估方式 集中式評估評估時間 X年 X月 X－ X月 X日評估組織評估組長 評估組員第一小組 第二小組 評估安排日期 時間評估區(qū)域 評估內容第一小組 第二小組 第一小組 第二小組X9:009:30 會議室 首次會議9:3012:00 14:0017:00 17:0018:00 X9:0011:00 11:0012:00 會議室 評估小組會議14:0015:00 會議室 末次會議編制 編寫者 時間 年 月 日 評估 評估者 （信息安全專責簽字） 時間 年 月 日 批準 批準者 （信息部管理者簽字） 時間 年 月 日 66風險評估項目實施過程風險評估項目實施過程計劃計劃準備準備實施實施報告報告跟蹤跟蹤67檢查列表的四要素檢查列表的四要素去哪里？去哪里？ 找誰？找誰？查什么？查什么？ 如何查？如何查？68風險評估常用方法風險評估常用方法u 檢查列表 ：評估員根據自己的需要，事先編制針對某方面問題的檢查列表，然后逐項檢查符合性，在確認檢查列表應答時，評估員可以采取調查問卷、文件審查、現場觀察和人員訪談等方式。 64風險評估計劃示例風險評估計劃示例評估目的 評價信息安全管理體系運行的符合性和有效性評估范圍 評估準則 《 XX公司信息安全管理辦法》《 ISO27001信息安全管理體系》。u 評估實施計劃是對特定評估活動的具體安排，內容通常包括：216。 評估類型 ：集中方式（本次項目采用集中評估方式）216。 時間安排 ：評估時間避免與重要業(yè)務活動發(fā)生沖突。 目的 ：申明組織實施內部評估的目標。 p完成掃描后 ,檢查風險評估后系統(tǒng)的安全性和穩(wěn)定性62風險評估項目實施過程風險評估項目實施過程計劃計劃準備準備實施實施報告報告跟蹤跟蹤63制定評估計劃制定評估計劃u 評估計劃分年度計劃和具體的實施計劃，前者通常是評估策劃階段就需要完成的，是整個評估活動的總綱，而具體的評估實施計劃則是遵照年度評估計劃而對每次的評估活動所作的實施安排。 p 負責配合顧問提供風險評估相關的工作環(huán)境、評估實現
法律信息相關推薦
鄂ICP備17016276號-1