保密风险评估与管理制度.docx

螆保密风险评估与管理制度节蒃第一条本制度规定了所采用的风险评估方法。通过识别信息资产、风险等级评估,认知公司的风险,在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将风险控制在可接受的水平,保持公司业务持续性发展,以满足管理方针的要求。薀第二条本制度适用于第一次完整的风险评估和定期的再评估。在辨识资产时,本着尽量细化的原则进行,但在评估时我司又会把资产按照系统进行规划。辨识与评估的重点是信息资产,不区分物理资产、软件和硬件。膆第三条技术部负责牵头成立风险评估小组。羄第四条风险评估小组每半年至少一次,或当体系、组织、业务、技术、环境等影响企业的重大事项发生变更、重大事故事件发生后,负责编制风险评估计划,确认评估结果,形成《风险评估报告》。芁第五条各部门负责部门使用或管理的信息资产的识别和风险评估,并负责部门所涉及的信息资产的具体安全控制工作。蚀第六条各部门负责人负责部门的信息资产识别。技术部经理负责汇总、校对全公司的信息资产。薇第七条技术部负责风险评估的策划。蒂第八条技术部牵头成立风险评估小组,小组成员至少应该包含:管理保密部门的成员、重要责任部门的成员。羀第九条信息资产螀软件:应用软件、系统软件和适用程序等。羈硬件:计算机设备、通讯设备、可移动介质和其他设备。膄数据:数据库数据、系统文档、计划、报告、用户手册、客户配置策略等肃服务:培训服务、租赁服务、公用设施(能源、电力)。衿文档:纸质的各种文件、传真、电报、财务报告、发展计划等膅人员:人员的资格、技能和经验。袆其他:组织的声誉、商标、形象。袂第十条本公司的资产范围包括:罿系统文件、研究信息、用户手册、培训教材、培训操作、培训软件、支持性程序、业务连续性计划、应变安排、审核记录、审核的追踪、归档信息。薆第十一条评估程序芄本评估应考虑:范围、目的、时间、效果、组织文化、人员素质以及具体开展的程度等因素来确定,使之能够与组织的环境和安全要求相适应。薁第十二条资产属性赋值罿资产赋值是对资产安全价值的估价,而不是以资产的账面价格来衡量的。在对资产进行估价时,不仅要考虑资产的成本价格,更重要的是考虑资产对于组织业务的安全重要性,即根据资产损失所引发的潜在的商务影响来决定。为确保资产估价时的一致性和准确性,机构应按照上述原则,建立一个资产价值尺度(资产评估标准),以明确如何对资产进行赋值。羇第十三条资产估价的过程也就是对资产保密性、完整性和可用性影响分析的过程。影响就是由人为或突发性引起的安全事件对资产破坏的后果。这一后果可能毁灭某些资产,危及信息系统并使其丧失保密性、完整性和可用性,最终还会导致财产损失、市场份额或公司形象的损失。特别重要的是,即使每一次影响引起的损失并不大,但长期积累的众多意外事件的影响总和则可造成严重损失。一般情况下,影响主要从以下几方面来考虑:肆(1)违反了有关法律或(和)规章制度莀(2)影响了业务执行聿(3)造成了信誉、声誉损失莈(4)侵犯了个人隐私蒄(5)造成了人身伤害莃(6)对法律实施造成了负面影响腿(7)侵犯了商业机密蒅(8)违反了社会公共准则膅(9)造成了经济损失膁(10)破坏了业务活动艿(11)危害了公共安全袅资产安全属性的不同通常也意味着安全控制、保护功能需求的不同。通过考察三种不同安全属性,可以能够基本反映资产的价值。蚃第十四条保密性赋值:羀赋值荿标识芆定义莅5羃极高葿指组织最重要的机密,关系组织未来发展的前途命运,对组织根本利益有着决定性影响,如果泄漏会造成灾难性的影响蚇4袃高螂是指包含组织的重要秘密,其泄露会使组织的安全和利益遭受严重损害薈3肈中等薅是指包含组织一般性秘密,其泄露会使组织的安全和利益受到损害蒁2薈低芅指仅在组织内部或在组织某一部门内部公开,向外扩散有可能对组织的利益造成损害羃1芀可忽略蚈对社会公开的信息,公用的信息处理设备和系统资源等信息资产蚆蚅第十五条完整性赋值:芃赋值螈标识肇定义膂5肂极高袈完整性价值非常关键,未经授权的修改或破坏会对评估体造成重大的或无法接受、特别不愿接受的影响,对业务冲击重大,并可能造成严重的业务中断,难以弥补蒈4高完整性价值较高,未经授权的修改或破坏会对评估体造成重大影响,对业务冲击严重,比较难以弥补3中等完整性价值中等,未经授权的修改或破坏会对评估体造成影响,对业务冲击明显,但可以弥补2低完整性价值较低,未经授权的修改或破坏会对评估体造成轻微影响,可以忍受,对业务冲击轻微,容易弥补1可忽略完整性价值非常低,未经授权的修改或破坏会对评估体造成的影响可以忽略,对业务冲击可以忽略第十六条可用性赋值:赋值标识定义5极高可用性价值非常高,%以上4高可用性价值较高,合法使用者对信息系统及资源的可用度达到每天99%以上3中等可用性价值中等,合法使用者对信息