信息安全风险评估管理程序.docVIP

PAGE / NUMPAGES 信息安全风险评估管理程序 1.目的 在ISMS 覆盖范围内对信息安全现行状况进行系统风险评估，形成评估报告，描述风险等级，识别和评价供处理风险的可选措施，选择控制目标和控制措施处理风险。 2.范围 在ISMS 覆盖范围内主要信息资产 3.职责 3.1各部门负责部门内部资产的识别，确定资产价值。 3.2ISMS小组负责风险评估和制订控制措施和信息系统运行的批准。 4.内容 4.1资产的识别 4.1.1各部门每年按照管理者代表的要求负责部门内部资产的识别，确定资产价值。 4.1.2资产分类 根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类。 4.1.3资产赋值 资产赋值就是对资产在机密性、完整性和可用性上的达成程度进行分析，选择对资产机密性、完整性和可用性最为重要（分值最高）的一个属性的赋值等级作为资产的最终赋值结果。资产等级划分为五级，分别代表资产重要性的高低。等级数值越大，资产价值越高。 1）机密性赋值 根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的应达成的不同程度或者机密性缺失时对整个组织的影响。 赋值 标识 定义 5 极高 包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性影响，如果泄漏会造成灾难性的损害 4 高 包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害