公司信息安全風(fēng)險(xiǎn)評(píng)估程序模版

信息安全風(fēng)險(xiǎn)評(píng)估程序目的本文件為公司執(zhí)行信息安全風(fēng)險(xiǎn)評(píng)估提供指導(dǎo)和規(guī)范。本程序的運(yùn)行結(jié)果產(chǎn)生《風(fēng)險(xiǎn)評(píng)估報(bào)告-(加注日期）》。公司依據(jù)風(fēng)險(xiǎn)評(píng)估報(bào)告編制風(fēng)險(xiǎn)處理計(jì)劃。適用范圍本程序適用風(fēng)險(xiǎn)評(píng)估所涉及的所有部門。風(fēng)險(xiǎn)評(píng)估工作組成員據(jù)此執(zhí)行風(fēng)險(xiǎn)評(píng)估活動(dòng)。其他相應(yīng)員工據(jù)此理解風(fēng)險(xiǎn)評(píng)估的過程，完成自己職責(zé)范圍內(nèi)風(fēng)險(xiǎn)評(píng)估相關(guān)工作。風(fēng)險(xiǎn)評(píng)估的實(shí)施頻率及評(píng)審公司規(guī)定風(fēng)險(xiǎn)評(píng)估活動(dòng)要定期進(jìn)行,常規(guī)的風(fēng)險(xiǎn)評(píng)估每年執(zhí)行一次,執(zhí)行風(fēng)險(xiǎn)評(píng)估前應(yīng)對(duì)本程序進(jìn)行評(píng)審。遇到以下情況,公司也將啟動(dòng)風(fēng)險(xiǎn)評(píng)估:增加了大量新的信息資產(chǎn);業(yè)務(wù)環(huán)境發(fā)生了重大的變化;發(fā)生了重大信息安全事件。風(fēng)險(xiǎn)評(píng)估方法根據(jù)GB/Ｔ22０8０－2００8/ISO/IＥC27０01：200５和ISO/ＩEＣTR１3335-3,公司采用“詳細(xì)風(fēng)險(xiǎn)分析方法（DeｔａileｄRiskApproach)”來實(shí)施風(fēng)險(xiǎn)評(píng)估，該方法主要包括:風(fēng)險(xiǎn)分析：識(shí)別資產(chǎn)、威脅、脆弱性、影響和可能性風(fēng)險(xiǎn)評(píng)價(jià):風(fēng)險(xiǎn)＝影響×可能性風(fēng)險(xiǎn)評(píng)估流程公司風(fēng)險(xiǎn)評(píng)估流程如下圖所示：欣博友風(fēng)險(xiǎn)評(píng)估流程編制風(fēng)險(xiǎn)評(píng)估報(bào)告編制風(fēng)險(xiǎn)評(píng)估報(bào)告分析和評(píng)價(jià)風(fēng)險(xiǎn)識(shí)別風(fēng)險(xiǎn)建立風(fēng)險(xiǎn)評(píng)估工作組確定風(fēng)險(xiǎn)評(píng)估范圍確定風(fēng)險(xiǎn)評(píng)估范圍在執(zhí)行風(fēng)險(xiǎn)評(píng)估前，由信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)，確定本次風(fēng)險(xiǎn)評(píng)估的范圍,并明確傳達(dá)給風(fēng)險(xiǎn)評(píng)估工作組。建立風(fēng)險(xiǎn)評(píng)估工作組在執(zhí)行風(fēng)險(xiǎn)評(píng)估前，由信息安全領(lǐng)導(dǎo)小組負(fù)責(zé),建立風(fēng)險(xiǎn)評(píng)估工作組,并明確工作組成員職責(zé)。識(shí)別風(fēng)險(xiǎn)識(shí)別資產(chǎn)及其責(zé)任人，建立信息資產(chǎn)清單(依下表）。序號(hào)資產(chǎn)名稱責(zé)任人位置相關(guān)說明識(shí)別威脅及威脅可利用的脆弱性（依下表）。序號(hào)資產(chǎn)名稱威脅脆弱性風(fēng)險(xiǎn)分析和評(píng)價(jià)風(fēng)險(xiǎn)分析和評(píng)價(jià)風(fēng)險(xiǎn)發(fā)生后對(duì)公司的影響(依下表）。序號(hào)資產(chǎn)名稱風(fēng)險(xiǎn)影響風(fēng)險(xiǎn)發(fā)生后對(duì)公司影響的賦值準(zhǔn)則影響的值描述3（高）風(fēng)險(xiǎn)對(duì)該資產(chǎn)的保密性、完整性或可用性等的影響（即發(fā)生泄露、損壞、丟失或無法使用等），將對(duì)公司造成極嚴(yán)重的或?yàn)?zāi)難性的損失,通常其直接或間接的影響范圍波及到公司整體。２（中)風(fēng)險(xiǎn)對(duì)該資產(chǎn)的保密性、完整性或可用性等安全屬性的影響(即發(fā)生泄露、損壞、丟失或無法使用等），將對(duì)公司造成較重要的損失,通常其直接或間接的影響范圍波及到公司局部。1(低)風(fēng)險(xiǎn)對(duì)該資產(chǎn)的保密性、完整性或可用性等安全屬性的影響(即發(fā)生泄露、損壞、丟失或無法使用等),將對(duì)公司造成一定的損失,通常其直接或間接的影響范圍僅波及到公司很少部門。分析和評(píng)價(jià)風(fēng)險(xiǎn)發(fā)生的可能性(依下表)。序號(hào)資產(chǎn)名稱風(fēng)險(xiǎn)影響可能性風(fēng)險(xiǎn)發(fā)生可能性的賦值準(zhǔn)則可能性的值描述3（高）考慮公司以往發(fā)生的信息安全事件，以及社會(huì)上和其它組織的經(jīng)驗(yàn),該風(fēng)險(xiǎn)頻繁發(fā)生。2（中）考慮公司以往發(fā)生的信息安全事件，以及社會(huì)上和其它組織的經(jīng)驗(yàn),該風(fēng)險(xiǎn)經(jīng)常發(fā)生。1（低）考慮公司以往發(fā)生的信息安全事件，以及社會(huì)上和其它組織的經(jīng)驗(yàn),該風(fēng)險(xiǎn)偶爾發(fā)生。計(jì)算風(fēng)險(xiǎn)的大小并排序（依下表)。風(fēng)險(xiǎn)計(jì)算公式：風(fēng)險(xiǎn)值＝影響值×可能性值序號(hào)資產(chǎn)名稱風(fēng)險(xiǎn)風(fēng)險(xiǎn)值編制風(fēng)險(xiǎn)評(píng)估報(bào)告由風(fēng)險(xiǎn)評(píng)估工作組負(fù)責(zé)編制風(fēng)險(xiǎn)評(píng)估報(bào)告,風(fēng)險(xiǎn)評(píng)估報(bào)告內(nèi)容應(yīng)包括：