信息资产风险评估原则及密级管理规定.xlsVIP

脆弱性参考列表 脆弱性识别表 通用威胁参考列表 威胁种类与描述 威胁来源列表 风险等级标准 脆弱性分级标准 威胁分级标准 信息资产密级分类准则 信息资产CIAB分级 重要信息资产判断准则 资产分类参考目录 修订历史 保密等级 秘密 文档名称 风险评估及信息资产密级管理规定 文档编号 AQ2G-04-S004 发布组织 信息安全工作小组 发布日期 执行日期 版 本 号 V1.0 批准： 审核： 制定： 页码 修订内容 修订时间 修订人 审批人 全部 首次制定 资产分类参考目录 大类 详细分类 举例 业务过程 各部门及子部门的业务相关过程和活动 招聘业务过程、网络维护业务过程等 文档和数据 经营策划 经营计划 组织情况 组织结构图 规章制度 公司各级文件和管理制度 财务信息 资金计划、成本、财务状况、财务报告 营业信息 合同、报价、顾客名录、营销战略 技术信息 研究成果、技术工艺 软件信息 程序代码表、软件的各项管理系统表、设计书 其他 公司电话名单、董事会资料 软件和系统 系统软件 Windows、UNIX操作系统、数据库管理系统、语句包、开发系统等 应用软件 office办公软件、数据库软件、各类工具软件等 程序代码 各种共享源代码、自行或合作开发的各种代码等 软件的各项管理系统 生产管理系统、人力资源管理系统、ERP系统 硬件和设施 计算机设备 大型机、小型机、服务器、工作站、台式计算机、便携计算机等 网络设备 路由器、网关、交换机等 通讯工具 电话 传输线路 光纤、双绞线 存储设备 光盘、U盘、,磁带机、磁盘阵列、磁带、软盘、移动硬盘等 保障设备 UPS、变电设备、空调、保险柜、文件柜、门禁、消防设施等 安全设备 防火墙、入侵检测系统、身份鉴别等 其他电子设备 打印机、复印机、扫描仪、传真机等 人力资源 涉密人员 市场、财务、人事、系统管理员，掌握重要信息和核心业务的人员 特殊人员 有特殊技能知识的人 服务和其他 IT服务 系统运行、维护，软件开发、维护，数据管理，网络服务，信息安全服务 后勤服务 照明、供电、空调、安全保卫 第3方服务 第3方服务过程的信息安全控制 无形资产 企业形象、客户关系等 重要信息资产判断准则 分类 判断准则 公司已有的业务过程一般情况下都属于重要资产 1、属于企业机密 2、被修改、不正当使用或缺失对公司活动及管理或商业信誉、形象直接产生不良影响 3、本部门认为重要信息资产 1、属于企业秘密的程序 2、如果被修改或失效对公司活动及管理或商业信誉、形象直接产生不良影响 3、本部门认为重要信息资产 1、产生或保存的信息属于秘密的设备和媒体 2、处理方法不当或设备故障对公司活动及管理或商业信誉、形象直接产生不良影响 3、本部门认为重要信息资产 1、产生或保存企业秘密信息的人员或特殊技能的人员 2、本部门认为重要信息资产 1、影响业务流程的关键服务、无形资产 信息资产CIA分级标准 信息资产 等级 C－机 密 性 I－完　整　性 A－可　用　性 B-业务相关性 5(非常高) 　包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性影响，如果泄漏会造成灾难性的损害 完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补 可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上 业务完全依靠该信息资产，一旦发生故障就会导致中断，工作不能进行下去 4(高) 包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害 完整性价值较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，比较难以弥补 可用性价值较高，合法使用者对信息及信息系统的可用度达到每天90%以上 业务对该信息资产依赖程度很大，脱离该信息资产将导致生产效率大幅下降，质量不能得到保证 3(中) 包含组织的一般性秘密，其泄露会使组织的安全和利益受到损害 完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补 可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上 业务主要依靠该信息资产开展，同时保持原有工作及生产模式，可以随时替代该信息资产 2(低) 包含仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成损害 完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，可以忍受，对业务冲击轻微，容易弥补 可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上 该信息资产为辅助资产，业务主要以原有方式进行 1(可忽略) 包含可对社会公开的信息，公用的信息处理设备和系统资源等 完整性价值非常低，未