保密风险评价与管理制度.pdf

保密风险评估与管理制度

第一条本制度规定了所采用的风险评估方法。通过识别信

息资产、风险等级评估，认知公司的风险，在考虑控制成本与风

险平衡的前提下选择合适控制目标和控制方式将风险控制在可

接受的水平，保持公司业务持续性发展，以满足管理方针的要求。

第二条本制度适用于第一次完整的风险评估和定期的再评

估。在辨识资产时，本着尽量细化的原则进行，但在评估时我司

又会把资产按照系统进行规划。辨识与评估的重点是信息资产，

不区分物理资产、软件和硬件。

第三条技术部负责牵头成立风险评估小组。

第四条风险评估小组每半年至少一次，或当体系、组织、

业务、技术、环境等影响企业的重大事项发生变更、重大事故事

件发生后，负责编制风险评估计划，确认评估结果，形成《风险

评估报告》。

第五条各部门负责部门使用或管理的信息资产的识别和风

险评估，并负责部门所涉及的信息资产的具体安全控制工作。

第六条各部门负责人负责部门的信息资产识别。技术部经

理负责汇总、校对全公司的信息资产。

第七条技术部负责风险评估的策划。

第八条技术部牵头成立风险评估小组，小组成员至少应该

包含：管理保密部门的成员、重要责任部门的成员。

第九条信息资产

1）软件：应用软件、系统软件和适用程序等。

2）硬件：计算机设备、通讯设备、可移动介质和其他设备。

3）数据：数据库数据、系统文档、计划、报告、用户手册、客

户配置策略等

4）服务：培训服务、租赁服务、公用设施（能源、电力）。

5）文档：纸质的各种文件、传真、电报、财务报告、发展计

划等

6）人员：人员的资格、技能和经验。

7）其他：组织的声誉、商标、形象。

第十条第十条本公司的资产范围包括：

系统文件、研究信息、用户手册、培训教材、培训操作、培

训软件、支持性程序、业务连续性计划、应变安排、审核记录、

审核的追踪、归档信息。

第十一条评估程序

本评估应考虑：范围、目的、时间、效果、组织文化、人员

素质以及具体开展的程度等因素来确定，使之能够与组织的环境

和安全要求相适应。

第十二条资产属性赋值

资产赋值是对资产安全价值的估价，而不是以资产的账面

价格来衡量的。在对资产进行估价时，不仅要考虑资产的成本价

格，更重要的是考虑资产对于组织业务的安全重要性，即根据资

产损失所引发的潜在的商务影响来决定。为确保资产估价时的一

保密风险评估与管理制度

第一条本制度规定了所采用的风险评估方法。通过识别信

息资产、风险等级评估，认知公司的风险，在考虑控制成本与风

险平衡的前提下选择合适控制目标和控制方式将风险控制在可

接受的水平，保持公司业务持续性发展，以满足管理方针的要求。

第二条本制度适用于第一次完整的风险评估和定期的再评

估。在辨识资产时，本着尽量细化的原则进行，但在评估时我司

又会把资产按照系统进行规划。辨识与评估的重点是信息资产，

不区分物理资产、软件和硬件。

第三条技术部负责牵头成立风险评估小组。

第四条风险评估小组每半年至少一次，或当体系、组织、

业务、技术、环境等影响企业的重大事项发生变更、重大事故事

件发生后，负责编制风险评估计划，确认评估结果，形成《风险

评估报告》。

第五条各部门负责部门使用或管理的信息资产的识别和风

险评估，并负责部门所涉及的信息资产的具体安全控制工作。

第六条各部门负责人负责部门的信息资产识别。技术部经

理负责汇总、校对全公司的信息资产。

第七条技术部负责风险评估的策划。

第八条技术部牵头成立风险评估小组，小组成员至少应该

包含：管理保密部门的成员、重要责任部门的成员。

第九条信息资产

1）软件：应用软件、系统软件和适用程序等。

2）硬件：计算机设备、通讯设备、可移动介质和其他设备。

3）数据：数据库数据、系统文档、计划、报告、用户手册、客

户配置策略等

4）服务：培训服务、租赁服务、公用设施（能源、电力）。

5）文档：纸质的各种文件、传真、电报、财务报告、发展计

划等