信息安全风险管理程序.docVIP

城云科技（杭州）有限公司 信息安全风险管理程序 文档编号 3. 1 受控状态 受控 版本号 V2. 0 作 者 鄂鹏羽 审核人 李振华 批准人 夏敏 发布日期 2014/12/1 批准日期 2014/12/1 目录 TOC \o 1-5 \h \z HYPERLINK \l bookmark2 \o Current Document \h 信息安全风险管理程序 1 HYPERLINK \l bookmark8 \o Current Document \h 第一章 目的 1 HYPERLINK \l bookmark10 \o Current Document \h 第二章 范围 1 第三章 名词解释 1 第四章 风险评估方法 2 HYPERLINK \l bookmark12 \o Current Document \h 第五章 风险评估实施 5 HYPERLINK \l bookmark14 \o Current Document \h 第六章 风险管理要求 19 HYPERLINK \l bookmark16 \o Current Document \h 第七章 附则 20 HYPERLINK \l bookmark18 \o Current Document \h 第八章 检查要求 20 第一章目的 第一条 目的：指导信息安全组织针对信息系统及其管理开展的信息 风险评估工作。本指南定义了风险评估的基本概念、原理及实施流程；对 资产、威胁和脆弱性识别要求进行了详细描述。 第二章范围 第二条 范围：适用于风险评估组开展各项信息安全风险评估工作。第三章名词解释 第三条资产 对组织具有价值的信息或资源，是安全策略保护的对象。 第四条资产价值 资产的重耍程度或敏感程度的表征。资产价值是资产的属性，也是进 行资产识别的主耍内容。资产价值通过机密性、完整性和可用性三个方面 评估计算获得。 （一） 机密性（Confidentiality）：确保只有经过授权的人才能访问 信息； （二） 完整性（Integrality）：保护信息和信息的处理方法准确而完 整； （三） 可用性（Ava订甜订ity）：确保经过授权的用户在需要时可以 访问信息并使用相关信息资产。 第五条威胁 可能导致对系统或组织危害的不希望事故潜在起因。 第六条脆弱性 可能被威胁所利用的资产或若干资产的弱点。 第七条信息安全风险 人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致 安全事件的发生及其对组织造成的影响。 第八条信息安全评估 依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和 存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。它要 评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合 安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。 第九条残余风险 采取了安全措施后，信息系统仍然可能存在的风险。 第四章风险评估方法 第四章 风险评估方法 第十条风险管理模型 ID 0 0 I D 0 0 | o o ? D 0 o 0 ? [ ] ] □ 图1风险管理模型 图1为风险管理的基本模型，椭圆部分的内容是与这些要素相关的属 性。风险管理围绕着资产、威胁、脆弱性和安全措施这些基本要素展开。信息安全风险评估在对风险管理要素的评估过程中，需要充分考虑业务战 略、资产价值、安全需求、安全事件、残余风险等与这些基木要素相关的 各类属性。 图1中的风险管理要素及属性之间存在着以下关系： （一） 业务战略的实现对资产具有依赖性，依赖程度越高，要求其风 险越小； （二） 资产是有价值的，组织的业务战略对资产的依赖程度越高，资 产价值就越大； （三） 风险是由威胁引发的，资产面临的威胁越多则风险越大，并可 能演变成为安全事件； （四） 资产的脆弱性可能暴露资产的价值，资产具有的弱点越多则风 险越大； （五） 脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产； （六） 风险的存在及对风险的认识导出安全需求； （七） 安全需求可通过安全措施得以满足，需耍结合资产价值考虑实 施成本； （八） 安全措施可抵御威胁，降低风险； （九） 残余风险有些是安全措施不当或无效，需要加强才可控制的风 险；而有些则是在综合考虑了安全成本与效益后不去控制的风险； （十）残余风险应受到密切监视，它可能会在将来诱发新的安全事件。 第十一条风险评估模型 图2风险评估原理图 风险评估的过程中主要包含信息资产(Information Asset),脆弱性 (Vulnerability) 威胁(Threat ) 影响(Impact)和风险(Risk)五 个要素。信息资产的基本属性是资产价值(Assets Value),脆弱性的基 本属性是被威胁