《信息安全风险评估管理程序.docx》由会员分享，可在线阅读，更多相关《信息安全风险评估管理程序.docx（26页珍藏版）》请在课桌文档上搜索。
1、：Al:第1页共27页一文名一信息安全风险评估管理程序文件修改记录序号版本修改内容简要生效日期1AO新作成2014/01/05文件保管及审批序号分发单位总页数：8页编制：H期：2014-01-05审核：H期：批准：B期：一文名一信息安全风险评估管理程序1适用本程序适用于本公司信息安全管理体系(ISMS)范围内信息安全风险评估活动。2目的本程序规定了本公司所采用的信息安全风险评估方法。通过识别信息资产、风险等级评估，认知本公司的信息安全风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持本公司业务持续性发展，以满足本公司信息安全管理方针的要求。具
2、体操作步骤，参照信息安全风险评估指南具体执行。3范围本程序适用于第一次完整的风险评估和定期的再评估。在辨识资产时,本着尽量细化的原则进行，但在评估时我司又会把资产按照系统进行规划。辨识与评估的重点是信息资产，不区分物理资产、软件和硬件。4职责4.1成立风险评估小组管理部负责牵头成立风险评估小组。一文名一信息安全风险评估管理程序4.2策划与实施风险评估小组每年至少一次，或当体系、组织、业务、技术、环境等影响企业的重大事项发生变更、重大事故事件发生后，负责编制信息安全风险评估计划，确认评估结果，形成信息安全风险评估报告。4.3信息资产识别与风险评估活动各部门负责本部门使用或管理的信息资产的识别和风
3、险评估，并负责本部门所涉及的信息资产的具体安全控制工作。4.3.1各部门负责人负责本部门的信息资产识别。4.3.2管理部经理负责汇总、校对全公司的信息资产。4.3.3管理部负责风险评估的策划。4. 3.4信息安全委员会负责进行第一次评估与定期的再评估。5程序4.1 风险评估前准备4.1.1 管理部牵头成立风险评估小组，小组成员至少应该包含：信息安全管理体系负责部门的成员、信息安全重要责任部门的成员。4.1.2 风险评估小组制定信息安全风险评估计划，下发各部门内审员。一文名一信息安全风险评估管理程序4.2 信息资产的识别5. 2.1本公司的资产范围包括：5. 2.1.1信息资产1）软件资产：应用
4、软件、系统软件、开发工具和适用程序。2）物理资产：计算机设备、通讯设备、可移动介质和其他设备。3）服务：培训服务、租赁服务、公用设施（能源、电力）。4）人员：人员的资格、技能和经验。5）无形资产：组织的声誉、商标、形象。5.2.1.2本公司的资产范围包括：数据库、数据文件、数据合同、系统文件、研究信息、培训教材、培训操作、培训软件、支持性程序、业务连续性计划、应变安排、审核记录、审核的追踪、归档信息。5.2.1.3评估程序本评估应考虑：范围、目的、时间、效果、组织文化、人员素质以及具体开展的程度等因素来确定，使之能够与组织的环境和安全要求相适应。5.2.2资产属性赋值5.2.2.1资产赋值是对
5、资产安全价值的估价，而不是以资产的账面价格来衡一文名一信息安全风险评估管理程序量的。在对资产进行估价时，不仅要考虑资产的成本价格，更重要的是考虑资产对于组织业务的安全重要性，即根据资产损失所引发的潜在的商务影响来决定。为确保资产估价时的一致性和准确性，机构应按照上述原则,建立一个资产价值尺度(资产评估标准)，以明确如何对资产进行赋值。5.2.2.2资产估价的过程也就是对资产保密性、完整性和可用性影响分析的过程。影响就是由人为或突发性引起的安全事件对资产破坏的后果。这一后果可能毁灭某些资产，危及信息系统并使其丧失保密性、完整性和可用性，最终还会导致财政损失、市场份额或公司形象的损失。特别重要的是
6、,即使每一次影响引起的损失并不大，但长期积累的众多意外事件的影响总和则可造成严重损失。一般情况下，影响主要从以下几方面来考虑：(1)违反了有关法律或(和)规章制度(2)影响了业务执行(3)造成了信誉、声誉损失(4)侵犯了个人隐私(5)造成了人身伤害(6)对法律实施造成了负面影响(7)侵犯了商业机密一文名一信息安全风险评估管理程序(8)违反了社会公共准则(9)造成了经济损失(10)破坏了业务活动（三）危害了公共安全资产安全属性的不同通常也意味着安全控制、保护功能需求的不同。通过考察三种不同安全属性，可以能够基本反映资产的价值。5.2.2.3保密性赋值:赋值标识定义5极高指组织最重要的机密，关系组
7、织未来发展的前途命运，对组织根本利益有着决定性影响，如果泄漏会造成灾难性的影响4高是指包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害3中等是指包含组织一般性秘密，其泄露会使组织的安全和利益受到损害2低指仅在组织内部或在组织某一部门内部公开，向外扩散有可能对组织的利益造成损害1可忽略对社会公开的信息，公用的信息处理设备和系统资源等信息资产5.2.2.4完整性赋值:赋值标识定义5极高完整性价值非常关键，未经授权的修改或破坏会对评估体造成重大的或无法接受、特别不愿接受：Al:第7页共27页一文名一信息安全风险评估管理程序的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补4高完整性
8、价值较高，未经授权的修改或破坏会对评估体造成重大影响，对业务冲击严重，比较难以弥补3中等完整性价值中等，未经授权的修改或破坏会对评估体造成影响，对业务冲击明显，但可以弥补2低完整性价值较低，未经授权的修改或破坏会对评估体造成轻微影响，可以忍受，对业务冲击轻微，容易弥补1可忽略完整性价值非常低，未经授权的修改或破坏会对评估体造成的影响可以忽略，对业务冲击可以忽略5.2.2.5可用性赋值:赋值标识定义5极高可用性价值非常高，合法使用者对信息系统及资源的可用度达到年度99.9%以上4高可用性价值较高，合法使用者对信息系统及资源的可用度达到每天99%以上3中等可用性价值中等，合法使用者对信息系统及资源
9、的可用度在正常上班时间达到90%以上2低可用性价值较低，合法使用者对信息系统及资源的可用度在正常上班时间达到25%以上1可忽略可用性价值可以忽略，法使用者对信息系统及资源的可用度在正常上班时间低于25%一文名一信息安全风险评估管理程序5.2.2.6资产赋值最终资产价值可以通过违反资产的保密性、完整性和可用性三个方面的程度综合确定，资产的赋值采用定性的相对等级的方式。与以上安全属性的等级相对应，资产价值的等级可分为五级，从1到5由低到高分别代表五个级别的资产相对价值，等级越大，资产越重要。具体每一级别的资产价值定义参见下表。由于资产最终价值的等级评估是依据资产保密性、完整性、可用性的赋值级别，经
10、过综合评定得出的，评定准则可以根据企业自身的特点，选择以安全三性中要求最高的一性的赋值级别为综合资产赋值准则。等级标识资产价值定义5很高资产的重要程度很高，其安全属性破坏后可能导致系统受到非常严重的影响4高资产的重要程度较高，其安全属性破坏后可能导致系统受到比较严重的影响3中资产的重要程度较高，其安全属性破坏后可能导致系统受到中等程度的影响2低资产的重要程度较低，其安全属性破坏后可能导致系统受到较低程度的影响1很低资产的重要程度都很低，其安全属性破坏后可能导致系统受到很低程度的影响，甚至忽略不计一文名一信息安全风险评估管理程序5.2.3风险评估小组向各部门内审员发放信息资产分类参考目录、信息资
11、产风险评估表、信息资产识别评价表，同时提出信息资产识别的要求。5.2.4各部门内审员参考信息资产分类参考目录识别本部门信息资产,根据重要信息资产判断准则判断其是否是重要信息资产，并填写信息资产识别评价表，经本部门负责人审核确认后，在风险评估计划规定的时间内提交风险评估小组审核汇总。5.2.5风险评估小组对各部门填写的信息资产识别评价表进行审核，确保没有遗漏信息资产，形成各部门的信息资产风险评估表，并分发各部门存档。5.3信息资产风险等级评估5.3.1应对信息资产风险评估表中的所有资产进行风险评估，评估应考虑威胁事件发生的可能性和威胁事件发生后对信息资产造成的影响程度两方面因素。5.3.2风险评
12、估小组向各部门内审员分发信息资产风险评估表、信息安全威胁参考表、信息安全薄弱点参考表、事件发生可能性等级对照表、事件可能影响程度等级对照表1O一文名一信息安全风险评估管理程序1.1.1 3.3各部门内审员根据资产本身所处的环境条件,参考信息安全威胁参考表识别每个信息资产所面临的威胁，针对每个威胁，识别目前已有的控制；并参考信息安全薄弱点参考表I识别可能被该威胁所利用的薄弱点；在考虑现有的控制前提下，参考事件发生可能性等级对照表判断每项信息资产所面临威胁发生的可能性；参考事件可能影响程度等级对照表，判断威胁利用薄弱点可能使信息资产保密性、完整性或可用性丢失所产生的影响程度等级。将结果填写在信息资
13、产风险评估表上，提交风险评估小组审核汇总。5.3.4 风险评估小组考虑本公司整体的信息安全要求，对各部门填写的信息资产风险评估表进行审核，确保风险评估水平的一致性，确保没有遗漏信息安全风险。如果对评估结果进行修改，应该和资产责任部门进行沟通并获得该部门的确认。5.3.5 风险评估小组根据信息安全风险矩阵计算表I计算风险等级，把风险等级最高的一级或者两级资产列为重要信息资产清单，并存档。5.4不可接受风险的确定和处理一文名一信息安全风险评估管理程序5.4.1 风险评估小组根据信息安全风险接受准则1,确定风险的可接受性；针对不可接受风险编制信息安全不可接受风险处理计划，该计划应该规定风险处理方式、
14、责任部门和时间进度；编制信息安全风险评估报告，陈述本公司信息安全管理现状，分析存在的信息安全风险，提出信息安全管理（控制）的建议与措施，附信息安全不可接受风险处理计划提交信息安全管理委员会进行审核，由ISMS管理者代表批准实施。5.4.2 各责任部门按照信息安全不可接受风险处理计划的要求采取有效安全控制措施后,原评估部门重新评估其计划效果，降至可接受为止，确保所采取的控制措施是充分的，该措施直到为再次风险评估的输入。5.5评估时机5.5.1每年重新评估一次，以确定是否存在新的威胁或薄弱点及是否需要增加新的控制措施，对发生以下情况需及时进行风险评估：a）当发生重大信息安全事故时；b）当信息网络系
15、统发生重大更改时；c）信息安全管理委员会确定有必要时。一文名一信息安全风险评估管理程序5.5.2各部门对新增加、转移的或授权销毁的信息资产应及时按照本程序在ISMS-4023信息资产识别评价表、重要信息资产清单上予以添加或变更。6相关/支持性文件信息安全适用性声明信息安全管理手册文件和资料管理程序7附件7.1信息资产分类参考目录7.2重要信息资产判断准则7.3信息安全威胁参考表7.4信息安全薄弱点参考表7.5事件发生可能性等级对照表7.6事件可能影响程度等级对照表7.7信息安全风险矩阵计算表7.8信息安全风险接受准则一文名一信息安全风险评估管理程序附表1信息资产分类参考目录大类详细分类举例文档
16、和数据经营规划中长期规划等经营计划等组织情况组织变更方案等组织机构图等组织变更通知等组织手册等规章制度各项规程、业务手册等人事制度人事方案等人事待遇资料等录用计划等离职资料等中期人员计划等人员构成等人事变动通知等培训计划等培训资料等财务信息预决算（各类投资预决算）等业绩（财务报告）等Al第14页共27一文名一信息安全风险评估管理程序中期财务状况等资金计划等成本等财务数据的处理方法（成本计算方法和系统，会计管理审查等经营分析系统，减税的方法、规程）等营业信息市场调查报告（市场动向，顾客需求，其它公司动向及对这些情况的分析方法和结果）等商谈的内容、合同等报价等客户名单等营业战略（有关和其它公司合作
17、销售、销售途径的确定及变更,对代理商的政策等情报）等返工和投诉处理等供应商信息等文档和数据技术信息技术图纸试验/分析数据（本公司或者委托其它单位进行的试验/分析）等研究成果（本公司或者和其它单位合作研究开发的技术成果）等科技发明的内容（专利申请书以及有关的资料/试验数据）等开发计划书等新产品开发的体制、组织（新品开发人员的组成，业务分担，技术人员的配置等）技术协助的有关内容（协作方，协作内容，协作时间等）教育资料等技术备忘录等Al第15页共27一文名一信息安全风险评估管理程序生产信息各种生产设备的配置（针对产品的最佳配置、特殊配置）等生产日报等保全日报等产品信息客户工作计划测试程序、数据等客户
18、数据等文档和数据软件信息生产管理系统等财务系统等设计书等流程等编码、密码系统等其他诉讼或其他有争议案件的内容（民事、无形资产、工伤等纠纷内容）公司基本设施情况（包括动力设施）等公司电话簿等数据库相关书面类资产的电子版软件和系统操作系统Windows等应用软件/系统Office财务系统等开发工具实用程序Al第16页共27一文名一信息安全风险评估管理程序硬件和设施网络设备和服务器路由器、网关、交换机、防火墙、入侵检测设备、加密设备、身分验证设备以及各类服务器等计算机台式计算机、移动计算机等存储设备磁带机等通讯工具电话、手提电话等传输线路光纤、双绞线等存储媒体磁带、光盘、软盘、U盘等动力供给设备其他
19、电子设备打印机、复印机、扫描仪、传真机等人力资源涉密人员市场、财务、工程、人事等特殊人员有特殊技能、知识、工艺的人员等服务计算机及网络通信服务软件外包服务、网络接入服务、服务器托管服务其它技术型服务供电、空调、动力、供暖、其它一文名一信息安全风险评估管理程序附表2重要信息资产判断准则所识别的信息资产，当出现以下情况时判为重要信息资产。分类判断准则硬件和设施1、产生或保存的信息属于企业秘密的设备或媒体。2、如果处理方法不当或者设备故障，对本公司的生产及管理直接产生不良影响。3、本部门认为可以列入重要信息资产的其他资产。软件和系统1、属于企业秘密的应用程序、源程序等。2、如果被篡改或发生失效时，对
20、本公司的生产及管理直接产生不良影响。3、本部门认为可以列入重要信息资产的其他资产。文档和数据1、此文档或数据属于企业秘密。2、此文档或数据被篡改、不正当使用或缺失会对本公司的生产及管理或商业信誉、形象直接产生不良影响。3、本部门认为可以列入重要信息资产的其他资产。人力资源1、产生或保存企业秘密信息的人员。2、本部门认为可以列入重要信息资产的其他资产。服务1、所依赖的服务不可用对本公司的生产及管理直接产生不良影响。2、本部门认为可以列入重要信息资产的其他服务。说明企业秘密的定义和划分办法见保密控制程序一文名一信息安全风险评估管理程序附表3信息安全威胁参考表威胁硬件和设施软件和系统文档和数据人力资
21、源服务故障恶意软件（电子文件）抵赖（电子商务信息）通信监听通信服务故障操作失误未经授权访问、修改未经授权复制授权人员对信息的滥用盗窃供电故障恶意破坏电子存储媒体故障违背知识产权相关法律，法规温度、湿度超限静电Al第19页共27一文名一信息安全风险评估管理程序黑客攻击容量超载雷击系统管理员权限滥用密钥泄露、篡改（加密设施）密钥滥用伤害不公正待遇威逼利诱人员流动火灾、地震、洪水、台风、爆炸、雷击一文名一信息安全风险评估管理程序附表4信息安全薄弱点参考表信息安全组织缺乏有力的领导支持信息安全事务跨部门协调能力不足安全责任不清缺乏专家支持与外部组织缺乏信息安全方案的沟通信息安全评审不可靠对第三方访问的
22、风险缺乏认识和必要控制对外包的信息资产和信息处理过程缺乏有力的控制资产的归类和控制信息资产没有记录清单或者不充分信息资产没有归类或者归类不科学信息资产没有清晰的归类标志人员安全没有人员考察或者考察中没有信息安全考虑工作职责中没有信息安全责任没有正式的保密协议缺乏信息安全相关的指导和培训信息安全意识不足缺员没有适当的奖惩规则物理与环境安全对建筑，房屋和办公室实物访问控制的不充分或疏忽对建筑、门、窗的物理保护不充分外来人员进行的无人监督的工作对存储媒体维护不当/安装不当设备定置不合理易受漏水或风雨影响没有隔离或者隔离不充分设备对于电压变化的需要缺乏定期的设备更新计划设备易受温度、湿度，灰尘影响旧设
23、备的处置和再利用缺乏安全控制没有清除桌面和屏幕的制度可以不经授权带离工作场所Al第21页共27一文名一信息安全风险评估管理程序通信和操作缺乏操作程序对操作的更改缺乏控制事件应对缺乏规划共享账号或共用身份认证卡开发设备和操作设备混杂新系统的引进没有详细的策划和验收对恶意软件和恶意代码缺乏对策或者对策不足移动媒体缺乏控制空闲接入端口个别故障点对外信息或软件交换缺乏风险责任协议电子邮件策略不够缺乏免责声明缺乏验证和授权机制用一般明文传输密码发送和接收信息的身份不能证明或者证明能力和业务要求不称未被保护的敏感交易不充分的网络管理未经授权拨号连接，或拨号连接保护不充分未被控制的备份Al第22页共27一文
24、名一信息安全风险评估管理程序访问控制缺乏访问控制策略没有规范的用户申请、注册程序缺乏可靠的验证授权机制对特权使用没有限制对访问权限缺乏评审无人值守设备缺乏保护网络服务的访问缺乏策略网络路径失控诊断端口缺乏保护网络连接缺乏控制网络服务程序安全性欠佳离开服务器的时候保护措施不充分缺乏口令管理（轻易便可猜测的密码，密码的存储，更改的频率不够）未被控制的下载和使用软件未被保护的密码表远程工作缺乏足够的保护没有足够的日志记录和相应的管理系统开发和维护开发缺乏安全分析对处理信息缺乏验证加密技术使用不当加密键码保护不当程序源库的访问控制不充分系统测试数据保护不充分软件更改没有足够控制没有或缺乏软件测验部分开
25、发说明书不清楚复杂的用户界面业务连续性管理缺乏业务连续性计划缺乏应急响应责任和方法的策划应急响应计划可行性不能保证一文名一信息安全风险评估管理程序符合性缺乏知识产权方面的对策法律要求保护的数据和个人信息得不到保护加密密码违反相关的法律规定没有足够的诉讼证据组织的信息安全方针得不到贯穿实施审核工具的使用失控一文名一信息安全风险评估管理程序附表5事件发生可能性等级对照表等级说明发生可能性1极低1次/三年2低1次/半年3中等1次/半年4高21次/月5很高i次/周说明A.威胁事件本身发生的可能性：这可以根据以往的统计数据来判断。B.现有的安全控制措施：己有的控制措施可能降低威胁发生的可能性，例如良好的
26、避雷系统能够明显降低因为雷击事件发生的可能性。对于不可抗力的自然灾害（地震、恐怖事件），安全控制措施可以减轻威胁造成的影响程度，但不能改变威胁事件实际发生的可能性。C.现存的安全薄弱点：本公司管理上的缺陷或者信息资产本身的薄弱点越多，被威胁利用的可能性就越大，威胁发生的可能性越大。一文名一信息安全风险评估管理程序附表6事件可能影响程度等级对照表威胁等级保密性（C）完整性（D可用性（八）1几乎无影响，导致非敏感信息的泄漏几乎无影响几乎不影响生产/业务活动2轻微影响，导致敏感信息的泄漏轻微影响。对单次合同产生负面影响对单台设备产生影响对商业形象和信誉的影响轻微3一般影响，导致企业秘密的泄漏一般影响
27、。可能导致一次中小合同失败对单个区域产生影响对商业形象和信誉的影响一般。4较重影响，导致企业机密的泄漏较重影响。可能导致数次中小合同或一次大合同失败对多个区域产生影响对商业形象和信誉的影响较重。5严重影响，导致多种企业秘密或机密信息的泄漏严重影响。可能导致客户或合作伙伴的丢失对所有区域产生影响对商业形象和信誉的影响严重一文名一信息安全风险评估管理程序附表7信息安全风险矩阵计算表风险RMax(CJA)12345WttW几乎无轻微性一般性严重性非常严重1极低13611132低25914173中等481518224高7121921245很高1016202325一文名一信息安全风险评估管理程序附表8信息安全风险接受准则等级划分标准说明A级20-25严重不可接受的风险B级15-19一般不可接受的风险C级8-14有条件接受的风险（需经评估小组评审，判断是否可以接受的风险）D级17不需要评审即可接受的风险
