(完整版)保密风险评估与管理系统规章规章制度 .pdfVIP

(完整版)保密风险评估与管理系统规章规章制度--第1页

标准实用文案

保密风险评估与管理制度

第一条本制度规定了所采用的风险评估方法。通过识

别信息资产、风险等级评估，认知公司的风险，在考虑控制

成本与风险平衡的前提下选择合适控制目标和控制方式将

风险控制在可接受的水平，保持公司业务持续性发展，以满

足管理方针的要求。

第二条本制度适用于第一次完整的风险评估和定期

的再评估。在辨识资产时，本着尽量细化的原则进行，但在

评估时我司又会把资产按照系统进行规划。辨识与评估的重

点是信息资产，不区分物理资产、软件和硬件。

第三条技术部负责牵头成立风险评估小组。

第四条风险评估小组每半年至少一次，或当体系、组

织、业务、技术、环境等影响企业的重大事项发生变更、重

大事故事件发生后，负责编制风险评估计划，确认评估结果，

形成《风险评估报告》。

第五条各部门负责部门使用或管理的信息资产的识

别和风险评估，并负责部门所涉及的信息资产的具体安全控

制工作。

第六条各部门负责人负责部门的信息资产识别。技术

部经理负责汇总、校对全公司的信息资产。

第七条技术部负责风险评估的策划。

文档

(完整版)保密风险评估与管理系统规章规章制度--第1页

(完整版)保密风险评估与管理系统规章规章制度--第2页

标准实用文案

第八条技术部牵头成立风险评估小组，小组成员至少

应该包含：管理保密部门的成员、重要责任部门的成员。

第九条信息资产

1)软件：应用软件、系统软件和适用程序等。

2)硬件：计算机设备、通讯设备、可移动介质和其他设备。

3)数据：数据库数据、系统文档、计划、报告、用户手册、

客户配置策略等

4)服务：培训服务、租赁服务、公用设施（能源、电力）。

5)文档：纸质的各种文件、传真、电报、财务报告、发展

计划等

6)人员：人员的资格、技能和经验。

7)其他：组织的声誉、商标、形象。

第十条本公司的资产范围包括：

系统文件、研究信息、用户手册、培训教材、培训操作、

培训软件、支持性程序、业务连续性计划、应变安排、审核

记录、审核的追踪、归档信息。

第十一条评估程序

本评估应考虑：范围、目的、时间、效果、组织文化、

人员素质以及具体开展的程度等因素来确定，使之能够与组

织的环境和安全要求相适应。

第十二条资产属性赋值

资产赋值是对资产安全价值的估价，而不是以资产的账

文档

(完整版)保密风险评估与管理系统规章规章制度--第2页

(完整版)保密风险评估与管理系统规章规章制度--第3页

标准实用文案

面价格来衡量的。在对资产进行估价时，不仅要考虑资产的

成本价格，更重要的是考虑资产对于组织业务的安全重要性，

即根据资产损失所引发的潜在的商务影响来决定。为确保资

产估价时的一致性和准确性，机构应按照上述原则，建立一

个资产价值尺度（资产评估标准），以明确如何对资产进行赋