公司信息安全风险评估管理办法 Microsoft Office Word 文档.docVIP

公司信息安全风险评估管理办法(试行 第一章总则 第一条为建立公司信息安全风险评估管理流程和机制,通过识别信息资产、风险等级评估认知信息化系统存在的信息安全风险,选择合适控制目标和控制方式将信息安全风险控制在可接受的水平,满足公司信息安全管理方针的要求,特制定本管理办法。 第二条运营改善部作为公司信息化的实际管理部门,负责组织成立风险评估小组。 第三条本办法适用于公司信息化系统范围内信息安全 风险评估活动。 第二章术语及定义 第四条保密性:是指网络信息不被泄露给非授权的用户、实体或过程。即信息只为授权用户使用。 第五条完整性:保证信息及信息系统不会被非授权更改或破坏的特性。包括数据完整性和系统完整性。 第六条可用性:数据或资源的特性,被授权实体按要求能访问和使用数据或资源。 第七条信息安全风险:人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。 第八条残余风险:采取了安全措施后,仍然可能存在的风险。 第九条脆弱性:可能被威胁所利用的资产或若干资产的弱点。 第三章风险评估准备 第十条风险评估准备是整个风险评估过程有效性的保证。组织实施风险评估是一种战略性的考虑,其结果将受到组织的业务战略、业务流程、安全需求、系统规模和结构等方面的影响。因此,在风险评估实施前,应做好以下工作: (一确定风险评估的目标; (二确定风险评估的范围; (三组建适当的