ISMS安全风险评估管理程序.docVIP

PAGE / NUMPAGES ISMS安全风险评估管理程序 1 适用 本程序适用于本公司信息安全管理体系（ISMS）范围内信息安全风险评估活动。 2 目的 本程序规定了本公司所采用的信息安全风险评估方法。通过识别信息资产、风险等级评估，认知本公司的信息安全风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持本公司业务持续性发展，以满足本公司信息安全管理方针的要求。具体操作步骤，参照《信息安全风险评估指南》具体执行。 3 范围 本程序适用于第一次完整的风险评估和定期的再评估。在辨识资产时，本着尽量细化的原则进行，但在评估时我司又会把资产按照系统进行规划。辨识与评估的重点是信息资产，不区分物理资产、软件和硬件。 4 职责 4.1 成立风险评估小组 XX部负责牵头成立风险评估小组。 4.2 策划与实施 风险评估小组每年至少一次，或当体系、组织、业务、技术、环境等影响企业的重大事项发生变更、重大事故事件发生后，负责编制信息安全风险评估计划，确认评估结果，形成《信息安全风险评估报告》。 4.3 信息资产识别与风险评估活动 各部门负责本部门使用或管理的信息资产的识别和风险评估，并负责本部门所涉及的信息资产的具体安全控制工作。 4.3.1 各部门负责人负责本部门的信息资产识别。 4.3.2 XX部经理负责汇总、校对全公司的信息资产。 4.3.3