信息安全管理制度附件信息安全風(fēng)險(xiǎn)評(píng)估管理程序信息安全風(fēng)險(xiǎn)評(píng)估管理程序第一章概述為了規(guī)范信息安全風(fēng)險(xiǎn)評(píng)估工作，提高信息安全管理水平，保證信息安全，制定本程序。第二章工作范圍本程序適用于公司內(nèi)部對(duì)信息系統(tǒng)和信息資源進(jìn)行安全風(fēng)險(xiǎn)評(píng)估的全部過(guò)程。第三章責(zé)任1.信息安全管理部門負(fù)責(zé)本程序的執(zhí)行和監(jiān)督。2.系統(tǒng)管理員負(fù)責(zé)信息系統(tǒng)和信息資源的風(fēng)險(xiǎn)評(píng)估工作。3.相關(guān)部門應(yīng)主動(dòng)配合信息安全管理部門和系統(tǒng)管理員開(kāi)展安全風(fēng)險(xiǎn)評(píng)估工作。第四章評(píng)估流程1.評(píng)估組成員的確定評(píng)估組由系統(tǒng)管理員和信息安全管理部門的專業(yè)人員組成。評(píng)估組成員應(yīng)具有信息安全領(lǐng)域的相關(guān)知識(shí)和經(jīng)驗(yàn)。2.現(xiàn)場(chǎng)勘察評(píng)估組成員在現(xiàn)場(chǎng)勘察時(shí)要對(duì)系統(tǒng)構(gòu)架、信息資源進(jìn)行詳細(xì)的檢查，了解安全管理制度的執(zhí)行情況，收集相關(guān)信息。3.風(fēng)險(xiǎn)識(shí)別在現(xiàn)場(chǎng)勘察后，評(píng)估組要對(duì)發(fā)現(xiàn)的問(wèn)題進(jìn)行分析和評(píng)估，并識(shí)別可能存在的風(fēng)險(xiǎn)。4.風(fēng)險(xiǎn)評(píng)估評(píng)估組要根據(jù)風(fēng)險(xiǎn)的概率、影響程度等因素對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估，確定風(fēng)險(xiǎn)等級(jí)。5.風(fēng)險(xiǎn)報(bào)告評(píng)估組應(yīng)編寫風(fēng)險(xiǎn)評(píng)估報(bào)告，報(bào)告內(nèi)容包括評(píng)估結(jié)果、存在風(fēng)險(xiǎn)、建議措施等，并提供詳細(xì)的技術(shù)支持。6.風(fēng)險(xiǎn)控制針對(duì)風(fēng)險(xiǎn)評(píng)估報(bào)告提出的存在風(fēng)險(xiǎn)和建議措施，評(píng)估組應(yīng)采取有效措施，控制風(fēng)險(xiǎn)。7.風(fēng)險(xiǎn)跟蹤評(píng)估組應(yīng)對(duì)風(fēng)險(xiǎn)控制措施進(jìn)行跟蹤，確?？刂拼胧┑挠行?。第五章評(píng)估方法1.定性分析法通過(guò)實(shí)地調(diào)查，結(jié)合公司實(shí)際情況，對(duì)所有潛在的信息安全風(fēng)險(xiǎn)進(jìn)行分析，得出相應(yīng)的意見(jiàn)和建議。2.定量分析法建立風(fēng)險(xiǎn)評(píng)估模型，根據(jù)各種因素的權(quán)重，對(duì)風(fēng)險(xiǎn)進(jìn)行定量分析。第六章安全風(fēng)險(xiǎn)等級(jí)根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果，將風(fēng)險(xiǎn)劃分為高、中、低三個(gè)等級(jí)。第七章安全風(fēng)險(xiǎn)評(píng)估報(bào)告1.報(bào)告開(kāi)頭呈現(xiàn)評(píng)估主題、評(píng)估組成員、評(píng)估時(shí)間、評(píng)估范圍等相關(guān)信息。2.風(fēng)險(xiǎn)評(píng)估結(jié)果將評(píng)估結(jié)果按風(fēng)險(xiǎn)等級(jí)進(jìn)行分類，明確各種風(fēng)險(xiǎn)的范圍，描述風(fēng)險(xiǎn)的關(guān)鍵特征。3.存在風(fēng)險(xiǎn)和控制建議對(duì)于識(shí)別和評(píng)估出的風(fēng)險(xiǎn)，提供相應(yīng)的控制建議，包括技術(shù)和管理措施，以及建議的優(yōu)先級(jí)。第八章后續(xù)管理1.報(bào)告修訂評(píng)估報(bào)告對(duì)于系統(tǒng)風(fēng)險(xiǎn)評(píng)估結(jié)果是動(dòng)態(tài)的，應(yīng)及時(shí)對(duì)報(bào)告進(jìn)行修訂。2.安全措施的落實(shí)根據(jù)風(fēng)險(xiǎn)評(píng)估報(bào)告提出的建議，采取相應(yīng)的管理和技術(shù)措施，落實(shí)相應(yīng)的安全措施。3.安全風(fēng)險(xiǎn)管理的持續(xù)持續(xù)