信息安全風(fēng)險(xiǎn)評(píng)估管理程序第信息安全風(fēng)險(xiǎn)評(píng)估管理程序version：1.1編制人：孫成英日期:200審核人:蔣德偉日期：200批準(zhǔn)人：王萬(wàn)均日期：2008年受控狀態(tài)：受控目錄TOC\o"1-2"\h\z\u1．目的 42．適用范圍 43．定義 43.1信息安全風(fēng)險(xiǎn) 43.2風(fēng)險(xiǎn)評(píng)估 44．職責(zé) 44.1信息安全經(jīng)理 44.2各部門信息安全員 44.3信息安全管理委員會(huì)成員 45．工作程序 45.1風(fēng)險(xiǎn)評(píng)估的時(shí)機(jī) 45.2風(fēng)險(xiǎn)評(píng)估準(zhǔn)備 55.3風(fēng)險(xiǎn)評(píng)估基本程序 55.4資產(chǎn)重要性評(píng)估 55.5威脅及脆弱性識(shí)別與評(píng)估 55.6信息安全風(fēng)險(xiǎn)排序 65.7信息安全風(fēng)險(xiǎn)匯總 65.8風(fēng)險(xiǎn)評(píng)估報(bào)告 65.9風(fēng)險(xiǎn)評(píng)估后續(xù)管理 76．引用文件 77流程圖 88．記錄 8修訂文檔歷史記錄日期版本說(shuō)明作者2001.0創(chuàng)建孫成英2008-8-181.1在5.1節(jié)增加風(fēng)險(xiǎn)評(píng)估時(shí)機(jī)：每年年初和在項(xiàng)目啟動(dòng)時(shí)進(jìn)行一次風(fēng)險(xiǎn)評(píng)估孫成英

1．目的確保信息安全風(fēng)險(xiǎn)評(píng)估結(jié)果的合理性。2．適用范圍本指南適用于風(fēng)險(xiǎn)評(píng)估小組對(duì)正大集團(tuán)及其所屬公司的信息安全風(fēng)險(xiǎn)進(jìn)行評(píng)估的活動(dòng)。3．定義3.1信息安全風(fēng)險(xiǎn)威脅利用脆弱性造成某一信息資產(chǎn)或某一組信息資產(chǎn)丟失或損壞的可能性，這樣的風(fēng)險(xiǎn)可能波及整個(gè)組織。3.2風(fēng)險(xiǎn)評(píng)估計(jì)算風(fēng)險(xiǎn)程度并對(duì)風(fēng)險(xiǎn)進(jìn)行優(yōu)先級(jí)排序的過(guò)程。4．職責(zé)4.1信息安全經(jīng)理4.1.1組織風(fēng)險(xiǎn)評(píng)估小組進(jìn)行風(fēng)險(xiǎn)評(píng)估。4.1.2起草并向高層匯報(bào)《風(fēng)險(xiǎn)評(píng)估報(bào)告》4.2各部門信息安全員4.2.1參與風(fēng)險(xiǎn)評(píng)估4.3信息安全管理委員會(huì)成員4.3.1審查并批準(zhǔn)風(fēng)險(xiǎn)評(píng)估報(bào)告4.3.2接受殘余風(fēng)險(xiǎn)5．工作程序5.1風(fēng)險(xiǎn)評(píng)估的時(shí)機(jī)公司在以下情況下，將按照本程序要求進(jìn)行風(fēng)險(xiǎn)評(píng)估：5.1.1建立信息安全管理體系時(shí)。5.1.2每年年初由信息安全小組組織風(fēng)險(xiǎn)評(píng)估。5.1.35.1.45.1.55.1.6軟件開(kāi)發(fā)項(xiàng)目在啟動(dòng)階段，按照CMM文件《風(fēng)險(xiǎn)評(píng)估指南》的要求進(jìn)行項(xiàng)目風(fēng)險(xiǎn)評(píng)估。5.2風(fēng)險(xiǎn)評(píng)估準(zhǔn)備5.2.1每次風(fēng)險(xiǎn)評(píng)估前，由信息安全經(jīng)理根據(jù)風(fēng)險(xiǎn)評(píng)估范圍負(fù)責(zé)組建公司風(fēng)險(xiǎn)評(píng)估小組，提出風(fēng)險(xiǎn)評(píng)估小組成員名單，通常，風(fēng)險(xiǎn)評(píng)估小組由各相關(guān)部門信息安全員組成。風(fēng)險(xiǎn)評(píng)估小組成員名單應(yīng)提交信息安全管理委員會(huì)審查批準(zhǔn)。5.2.2根據(jù)所確定的風(fēng)險(xiǎn)評(píng)估范圍，信息安全經(jīng)理負(fù)責(zé)制訂《信息安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)則》，明確對(duì)資產(chǎn)重要性、威脅、脆弱性評(píng)分準(zhǔn)則以及風(fēng)險(xiǎn)重大程度優(yōu)先級(jí)準(zhǔn)則。5.2.3《信息安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)則》應(yīng)提交信息安全管理委員會(huì)審查批準(zhǔn)。5.3風(fēng)險(xiǎn)評(píng)估基本程序5.3.1對(duì)評(píng)估范圍內(nèi)的資產(chǎn)進(jìn)行清點(diǎn)。5.3.2根據(jù)《信息安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)則》中資產(chǎn)重要性評(píng)估準(zhǔn)則，對(duì)所清點(diǎn)的資產(chǎn)進(jìn)行重要性評(píng)分，計(jì)算資產(chǎn)重要性分值。5.3.3識(shí)別資產(chǎn)所面臨的威脅。5.3.4針對(duì)資產(chǎn)所面臨的威脅，識(shí)別資產(chǎn)脆弱性。5.3.5識(shí)別現(xiàn)有的控制措施，并按照《信息安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)則》對(duì)威脅和脆弱性構(gòu)成的風(fēng)險(xiǎn)在現(xiàn)有控制措施下發(fā)生的可能性進(jìn)行評(píng)分。5.3.6結(jié)合資產(chǎn)重要性、風(fēng)險(xiǎn)發(fā)生可能性的評(píng)分結(jié)果填入《信息資產(chǎn)風(fēng)險(xiǎn)評(píng)估表》，計(jì)算風(fēng)險(xiǎn)分值。5.3.7按照《信息安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)則》，對(duì)風(fēng)險(xiǎn)嚴(yán)重程度進(jìn)行評(píng)定。5.4資產(chǎn)重要性評(píng)估5.4.1信息安全經(jīng)理組織風(fēng)險(xiǎn)評(píng)估小組成員按照《信息安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)則》，應(yīng)用《資產(chǎn)重要性評(píng)估表》對(duì)風(fēng)險(xiǎn)評(píng)估范圍所識(shí)別的每類資產(chǎn)進(jìn)行重要性評(píng)估，所完成的資產(chǎn)重要性評(píng)估結(jié)果記錄在《資產(chǎn)重要性評(píng)估表》中。5.4.2資產(chǎn)重要性評(píng)估結(jié)果應(yīng)由各部門經(jīng)理審查確認(rèn)。5.5威脅及脆弱性識(shí)別與評(píng)估5.5.1針對(duì)所確定的資產(chǎn)重要性結(jié)果，風(fēng)險(xiǎn)評(píng)估小組組長(zhǎng)應(yīng)組織風(fēng)險(xiǎn)評(píng)估小組對(duì)各類資產(chǎn)所面臨的威脅進(jìn)行識(shí)別，并根據(jù)威脅識(shí)別結(jié)果，確定資產(chǎn)對(duì)應(yīng)的脆弱性。風(fēng)險(xiǎn)評(píng)估小組針對(duì)威脅及脆弱性識(shí)別的結(jié)果，建立《威脅脆弱性對(duì)照表》，作為進(jìn)行威脅及脆弱性識(shí)別的應(yīng)用工具。5.5.2風(fēng)險(xiǎn)評(píng)估小組組長(zhǎng)應(yīng)組織各部門信息安全員針對(duì)所識(shí)別的資產(chǎn)，應(yīng)用《威脅脆弱性對(duì)照表》工具，對(duì)所識(shí)別的資產(chǎn)，進(jìn)行威脅及脆弱性識(shí)別，威脅及脆弱性識(shí)別結(jié)果應(yīng)記錄在《信息資產(chǎn)風(fēng)險(xiǎn)評(píng)估表》中。根據(jù)威脅及脆弱性識(shí)別結(jié)果，風(fēng)險(xiǎn)評(píng)估小組將對(duì)威脅利用脆弱性可能造成的風(fēng)險(xiǎn)進(jìn)行描述。5.5.3風(fēng)險(xiǎn)評(píng)估小組應(yīng)按照《信息安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)則》中對(duì)威脅、脆弱評(píng)分準(zhǔn)則對(duì)威脅及脆弱性進(jìn)行評(píng)分。每項(xiàng)資產(chǎn)的威脅及脆弱性識(shí)別結(jié)果以及評(píng)分結(jié)果應(yīng)記錄在《信息資產(chǎn)風(fēng)險(xiǎn)評(píng)估表》中。5.6信息安全風(fēng)險(xiǎn)排序每類資產(chǎn)威脅、脆弱性識(shí)別并評(píng)分完成后，《信息資產(chǎn)風(fēng)險(xiǎn)評(píng)估表》工具將根據(jù)資產(chǎn)重要性評(píng)分結(jié)果、威脅評(píng)分結(jié)果以及脆弱性評(píng)分結(jié)果，綜合計(jì)算每類資產(chǎn)的風(fēng)險(xiǎn)級(jí)別，并按照《信息安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)則》中風(fēng)險(xiǎn)分級(jí)準(zhǔn)則，對(duì)資產(chǎn)風(fēng)險(xiǎn)進(jìn)行優(yōu)先級(jí)別評(píng)定。風(fēng)險(xiǎn)評(píng)定的結(jié)果將記錄在每類資產(chǎn)《信息資產(chǎn)風(fēng)險(xiǎn)評(píng)估表》中。5.7風(fēng)險(xiǎn)評(píng)估報(bào)告5.7.1信息安全經(jīng)理負(fù)責(zé)組織5.7.1.15.7.1.25.7.1.35.7.1.4風(fēng)險(xiǎn)級(jí)別在“中高”及“高”的風(fēng)險(xiǎn)項(xiàng)目匯總形成《風(fēng)險(xiǎn)評(píng)估處置計(jì)劃》。5.7