网络安全与信息安全手册（执行版）.docx

网络安全与信息安全手册（执行版）

第1章总体安全规划与制度管理

1.1安全战略制定与风险评估

安全战略制定需遵循“业务导向、风险为本”原则，首先明确组织核心业务目标，将网络安全需求嵌入到年度业务规划中，确保安全措施不偏离业务核心，例如在制定数字化转型战略时，必须同步规划数据防泄漏（DLP）策略，实现技术与业务的同频共振。风险评估是制定战略的基石，需采用定量与定性相结合的方法，对物理环境、网络架构及业务流程进行全方位扫描，识别潜在威胁，例如利用NISTSP800-30框架对核心数据库进行资产分级，确定高价值资产的风险等级，为资源分配提供数据支撑。

在风险评估阶段，必须量化风