ＬＯＧＯ
密级：秘密
编 号：NN-PD17 ＸＸＸＸ网络安全技术有限公司 版 次：080501 程 序 文 件 生效日期：2008.05.01 信息安全风险评估管理程序 编制： 日期： 审核： 日期： 批准： 日期： 本版修改记录 修改状态 日期 修改原因及内容提要 修改人 审核人 批准人
第 1 页 共 11 页 信息安全风险评估管理程序
ＬＯＧＯ
密级：秘密
信息安全风险评估管理程序
1.0目的
在ISMS 覆盖范围内对信息安全现行状况进行系统风险评估，形成评估报告，描述风险等级，识别和评价供处理风险的可选措施，选择控制目标和控制措施处理风险。
2.0适用范围
在ISMS 覆盖范围内主要信息资产
3.0定义（无） 4.0职责
4.1各部门负责部门内部资产的识别，确定资产价值。 4.2信息安全部负责风险评估和制订控制措施。 4.3CEO负责信息系统运行的批准。
5.0流程图
第 2 页 共 11 页 信息安全风险评估管理程序
ＬＯＧＯ
密级：秘密
职 责行 动 和 流 程相关支持文件和记录信息安全部风险评估准备信息资产识别表各职能部门资产识别威胁识别脆弱性识别重要资产清单威胁/脆弱性因素表信息安全部已有安全措施的确认信息安全部风险计算风险评估表管理层风险是否接受是保持已有的安全措施否信息安全部选择适当的安全措施并评估残余风险残余风险清单否管理层是否接受残余风险是信息安全部实施风险管理安全措施实施计划 第 3 页 共 11 页 信息安全风险评估管理程序
ＬＯＧＯ
密级：秘密
6.0内容
6.1资产的识别
6.1.1各部门每年按照管理者代表的要求负责部门内部资产的识别，确定资产价值。 6.1.2资产分类
根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类。 6.1.3资产（A）赋值
资产赋值就是对资产在机密性、完整性和可用性上的达成程度进行分析，选择对资产机密性、完整性和可用性最为重要（分值最高）的一个属性的赋值等级作为资产的最终赋值结果。资产等级划分为五级，分别代表资产重要性的高低。等级数值越大，资产价值越高。 1）机密性赋值
根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的应达成的不同程度或者机密性缺失时对整个组织的影响。 赋值 5 4 3 2 1 标识 极高 高 中等 低 可忽略 定义 包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性影响，如果泄漏会造成灾难性的损害 包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害 包含组织的一般性秘密，其泄露会使组织的安全和利益受到损害 包含仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成损害 包含可对社会公开的信息，公用的信息处理设备和系统资源等 2）完整性赋值
根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。 赋值 5 标识 定义 重大的或无法接受的影响，对业务冲击重大，并可能造成严极高 完整性价值非常关键，未经授权的修改或破坏会对组织造成第 4 页 共 11 页 信息安全风险评估管理程序
ＬＯＧＯ
密级：秘密
重的业务中断，难以弥补 4 3 2 1 高 中等 低 可忽略 完整性价值较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，比较难以弥补 完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补 完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，可以忍受，对业务冲击轻微，容易弥补 完整性价值非常低，未经授权的修改或破坏对组织造成的影响可以忽略，对业务冲击可以忽略 3）可用性赋值
根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。 赋值 5 4 3 2 1 标识 极高 高 中等 低 可忽略 度达到年度99.9%以上 可用性价值较高，合法使用者对信息及信息系统的可用度达到每天90%以上 可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上 可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上 可用性价值可以忽略，合法使用者对信息及信息系统的可用度在正常工作时间低于25% 定义 可用性价值非常高，合法使用者对信息及信息系统的可用3分以上为重要资产，重要信息资产由信息安全部确立清单
6.2威胁识别 6.2.1威胁分类
对重要资产应由ISMS小组识别其面临的威胁。针对威胁来源，根据其表现形式将威胁分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、黑客攻击技术、物理攻击、泄密、篡改和抵赖等。 6.2.2威胁(T)赋值
第 5 页 共 11 页 信息安全风险评估管理程序