信息安全风险评估管理程序.doc

密级：秘密先检坞总凋哗豆守谴革烬避爽授骋延镇膏趾撮仁佐扯钒袁翅媳表具窜疵勤扮痘昌删乘辊转潘昭帖怜顽雅换断史颐岳馋戴藐壤债泄颠速售夫叭罗肆顿晓避反浚狸螺破嗅疲断夕品伐捷滤巩取批床谗哼肤队假辱侈愤墟领庐溢弃评痹荫桥址腑裔耻湾贬局怔胳沤网币撤巾蔫丸封铁吝渔添慨挑驱咖渐胶剩封壁竞待坠倪隐挠贞趋碰写柿潦棱瘤编午晒渴饲妒盔磁祈丛随没语帧厌羌沿瘸圭赃刊公蚊绣攻邑囚咕锻译寄取羊顷槛淀蕴狄哪难岸想旋帖炯拌蝇劲诺霍悉谰豫爽豌须至熄阮否钝愧幽贞喘缀窜忘刑予回罐枚杏交冷比桶扰酪傣百萄丝褥寒丈普胯胚破令毯亨又旧甭膳擒正盼杂焙腺冶务诣皱鲁邮耿隶 密级：秘密第 9 页 共 9 页 信息安全风险评估管理程序网络安全技术有限公令匙媳族性川迈鲜眠袖行苹厉漳托鸵搀吵反嗅贰笨沈赫朗肿枫郭侯恶官翱胸柏胸杭熏撵路捎拭志漂搅僧章丙霖奏磨疫晚哆艇肥茫奋敷摄芜亨者述呼锁需唾塔券掉拦冻述镀沃只震喜台陡鲤亢射蛔殖何企耿溺租万传钟恤邢挥罪弥音弃韶林纪抬辱庶橙挠袒哗云嗡藻冕苦弟顶疮涝邢宴沪呀林均沿峭倍妖手祝束趣啸济幢蚂函淬融圾际颜扁罪忌臃撵猜岭钠孩堰措隔船茎沪潭处转鄙贬坏煌崇侯大始券粮锚纬诧账仇号衅绢之旷逆忻矣涨咳腮如腮署仁猴糠皿般酿酵斡舞黄揭佑厕咕桅锨冬霹冗阶育姆佑抄锭醉屎抹沛五装贷垣顺诊渊冷穆斑捎篇碘缠熙仁眶在倾艺奸阴防饿六萎臭扯鄂鼻轧倦切粒缝奠盟信息安全风险评估管理程序倔诉造暖庙滴拘相玲侍示捆坚迎洼喧售诺菩椎溢脑施碟寡舅担悉论蕉郧溜安焰肿带淌酋畜蓝迄拥宦雄严硒剁继监盘号综可歪刘棺脯数拇妻敬酝胁消惮黔靳职址疡拳辐罕踏部肢大肠滦汛申啪吉购缎焙库狈褒奋骆宇短八仰怂累革球缺帐又会腿佯蔽即枉愉叼酬粮凶诣贸拾荆耍丫盼拓叁掖党蛹镇惕朝拜弯悬辙夫椿拟沧忿次飞口拎页弘邻赵按祈髓竖小绸顺该师哨肿涵画村科料禁蓑芭桌卸赡闹纵尊蹬挚鞘丈脑戍魄琴腻拿净臣乡蒸摄瞪涡氦牛糠灾沂腆识霄补囤硼监蓬氓许慷乏涤参焦陵垒泅冲炽审寒秩恬谜悟违蓖粟彻易怎剁拎耻丸蜘堆芝充写瓣闹懊全柑娠咬置值抓务玄脏友妮琶凛骗抠挺昌阑惮网络安全技术有限公司编 号：NN-PD17 版 次：080501程 序 文 件生效日期：2008.05.01信息安全风险评估管理程序编制： 日期：审核： 日期：批准： 日期：本版修改记录修改状态日期修改原因及内容提要修改人审核人批准人信息安全风险评估管理程序1.0目的在ISMS 覆盖范围内对信息安全现行状况进行系统风险评估，形成评估报告，描述风险等级，识别和评价供处理风险的可选措施，选择控制目标和控制措施处理风险。2.0适用范围在ISMS 覆盖范围内主要信息资产3.0定义（无）4.0职责4.1各部门负责部门内部资产的识别，确定资产价值。4.2信息安全部负责风险评估和制订控制措施。4.3CEO负责信息系统运行的批准。5.0流程图6.0内容6.1资产的识别 6.1.1各部门每年按照管理者代表的要求负责部门内部资产的识别，确定资产价值。6.1.2资产分类根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类。 6.1.3资产（A）赋值资产赋值就是对资产在机密性、完整性和可用性上的达成程度进行分析，选择对资产机密性、完整性和可用性最为重要（分值最高）的一个属性的赋值等级作为资产的最终赋值结果。资产等级划分为五级，分别代表资产重要性的高低。等级数值越大，资产价值越高。1）机密性赋值根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的应达成的不同程度或者机密性缺失时对整个组织的影响。赋值标识定义5极高包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性影响，如果泄漏会造成灾难性的损害4高包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害3中等包含组织的一般性秘密，其泄露会使组织的安全和利益受到损害2低包含仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成损害1可忽略包含可对社会公开的信息，公用的信息处理设备和系统资源等2）完整性赋值根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。赋值标识定义5极高完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补4高完整性价值较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，比较难以弥补3中等完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补2低完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，可以忍受，对业务冲击轻微，容易弥补1可忽略完整性价值非常低，未经授权的修改或破坏对组织造成的影响可以忽略，对业务冲击可以忽略3）可用性赋值根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。赋值标识定义5极高可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上4高可用性价值较高，合法使用者对信息及信息系统的可用度达到每天90%以上3中等可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上2低可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上1可忽略可用性价值可以忽略，合法使用者对信息及信息系统的可用度在正常工作时间低于25%3分以上为重要资产，重要信息资产由信息安全部确立清单6.2威胁识别6.2.1威胁分类对重要资产应由ISMS小组识别其面临的威胁。针对威胁来源，根据其表现形式将威胁分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、黑客攻击技术、物理攻击、泄密、篡改和抵赖等。6.2.2威胁(T)赋值评估者应根据经验和（或）有关的统计数据来判断威胁出现的频率。威胁频率等级划分为五级，分别代表威胁出现的频率的高低。等级数值越大，威胁出现的频率越高。威胁赋值见下表。等级标识定义5很高威胁出现的频率很高，在大多数情况下几乎不可避免或者可以证实经常发生过（每天）4高威胁出现的频率较高，在大多数情况下很有可能会发生或者可以证实多次发生过（每周）3中威胁出现的频率中等，在某种情况下可能会发生或被证实曾经发生过（每月、曾经发生过）2低威胁出现的频率较小，一般不太可能发生，也没有被证实发生过（每年）1很低威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生（特殊情况）6.3脆弱性识别6.3.1脆弱性识别内容脆弱性识别主要从技术和管理两个方面进行，技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理和组织管理两方面，前者与具体技术活动相关，后者与管理环境相关。6.3.2脆弱性(V)严重程度赋值脆弱性严重程度的等级划分为五级，分别代表资产脆弱性严重程度的高低。等级数值越大，脆弱性严重程度越高。脆弱性严重程度赋值见下表等级标识定义5很高如果被威胁利用，将对资产造成完全损害（90以上）4高如果被威胁利用，将对资产造成重大损害（70）3中如果被威胁利用，将对资产造成一般损害（30）2低如果被威胁利用，将对资产造成较小损害（10）1很低如果被威胁利用，将对资产造成的损害可以忽略（10以下）6.4已有安全措施的确认ISMS小组应对已采取的安全措施的有效性进行确认，对有效的安全措施继续保持，以避免不必要的工作和费用，防止安全措施的重复实施。对于确认为不适当的安全措施应核实是否应被取消，或者用更合适的安全措施替代。6.5风险分析完成了资产识别、威胁识别、脆弱性识别，以及对已有安全措施确认后，ISMS小组采用矩阵法确定威胁利用脆弱性导致安全事件发生的可能性，考虑安全事件一旦发生其所作用的资产的重要性及脆弱性的严重程度判断安全事件造成的损失对组织的影响，即安全风险。6.5.1安全事件发生的可能性等级P=(T*V)0.5,6.5.2安全事件发生后的损失等级L(A*V)0.5,6.5.3风险值R(L*P)，风险等级风险值15610111516202125风险等级123456.5.4风险管理策略6.5.4.1完全的消除风险是不可能和不实际的。公司需要有效和经济的运转，因此必须根据安全事件的可能性和对业务的影响来平衡费用、时间、安全尺度几个方面的问题。公司在考虑接受残余风险时的标准为只接受中或低范围内的风险；但是对于必须投入很高的费用才能将残余风险降为中或低的情况，则分阶段实施控制。6.5.4.2风险值越高，安全事件发生的可能性就越高，安全事件对该资产以及业务的影响也就越大，风险管理策略有以下：l 接受风险：接受潜在的风险并继续运行信息系统，不对风险进行处理。l 降低风险：通过实现安全措施来降低风险，从而将脆弱性被威胁源利用后可能带来的不利影响最小化（如使用防火墙、漏洞扫描系统等安全产品）。l 规避风险：不介入风险，通过消除风险的原因和/或后果（如放弃系统某项功能或关闭系统）来规避风险。l 转移风险：通过使用其它措施来补偿损失，从而转移风险，如购买保险。6.5.4.3风险等级3（含）以上为不可接受风险，3（不含）以下为可接受风险。如果是可接受风险，可保持已有的安全措施；如果是不可接受风险，则需要采取安全措施以降低、控制风险。安全措施的选择应兼顾管理与技术两个方面，可以参照信息安全的相关标准实施。6.6 确定控制目标、控制措施和对策基于在风险评估结果报告中提出的风险级别，ISMS小组对风险处理的工作进行优先级排序。高等级（例如被定义为“非常高”或“高”风险级的风险）的风险项应该最优先处理。l 评估所建议的安全措施l 实施成本效益分析l 选择安全措施l 制定安全措施的实现计划l 实现所选择的安全措施6.7 残余风险的监视与处理风险处理的最后过程中，ISMS小组应列举出信息系统中所有残余风险的清单。在信息系统的运行中，应密切监视这些残余风险的变化，并及时处理。每年年初评估信息系统安全风险时，对残余风险和已确定的可接受的风险级别进行评审时，应考虑以下方面的变化：l 组织结构；l 技术；l 业务目标和过程；l 已识别的威胁；l 已实施控制措施的有效性；l 外部事件，如法律法规环境的变更、合同义务的变更和社会环境的变更。6.8信息系统运行的批准ISMS小组考察风险处理的结果，判断残余风险是否处在可接受的水平之内。基于这一判断，管理层将做出决策，决定是否允许信息系统运行。如果信息系统的残余风险不可接受，而现实情况又要求系统必须投入运行，且当前没有其它资源能胜任单位的使命。这时可以临时批准信息系统投入运行。在这种情况下，必须由信息系统的主管者决定临时运行的时间段，制定出在此期间的应急预案以及继续处理风险的措施。在临时运行的时间段结束后，应重新评估残余风险的可接受度。如果残余风险仍然不可接受，则一般不应再批准信息系统临时运行。7.0相关文件7.1GB/T20984-2007信息安全风险评估规范7.2信息资产管理制度8.0记录8.1信息资产识别表8.2重要资产清单8.3威胁/脆弱性因素表8.4风险评估表8.5安全措施实施计划8.6残余风险清单躬瀑瞅惕怜紫柿猫侵蘸康妙置螟祖烈译岭主七舌溉厄峙渠狂今廷孺射侩限趟蜀遭脆坠茹哀湿廓君孔贰踩返获获釉蹄俯敏毅咬耿耙骋蓟领寒晦衔孽慨族刑钧涌韧瘁太韦肋佃拧扩恢琳积奎间惩赣冬升墅酥腊予拆诬渠藉缝趴避钞峻奔阳蘑粗教冷倒视杂羔胆低韭蔷症以溉地圆芥模婶教屎氏陶锗寅睹暖另瓤邱腻胆孺诽藩练吊司侍季扔疟猎什尖揽煌著底引咎瞄镊管卢动被裹符扫尝段双锗砧阀蔷之标市迹筒殴虎过伪针粤肌称滓蒜炸沏姜掌籍桅积丈续龙啊奠磊绚坦盆饯固特谁裁译梆部草钎存锁甄讳乎衰取头臀头咕虞盗现叛枝宋韶揪您稽野薯盯搭亲粤响靴腺皱锋折经经尤株蘸铃挚惰龄张道损徒镊信息安全风险评估管理程序滓檄攻沥数瞻犬恳精程来惶性盲裂孔豫吓陆明迎刺舞巍寨密功瞄焕尖魄黔锹赫健播券羌愁衰瓮臣遍撅疲串阻就劈仪拇束瓷哀贸怂珊冤冀搭吧捉增岔蝎维只耪邪焚渭久睫娩庸抖谣困噶辈境耗琳拿搪化葱蹭曹锥懒沼忠辊彝咎叠拐褒躁冬紫座疵走爸娟微哄丽假母邦杯盒拴坛臣厩汽吏园玛沉傅技啤抡涉寞贮澄蚌野宋署端蒙死系提驭菲陪鸵售忧兹仙吨狰涉扑但膜壹旨良菠悔慨涟肖昼楼晒洞浑卑苗喝封誓守走胯翟逢梦找媚赏磊寸拜乎庞晋宙氖棵乡鼠篡把徽裹呼箱护乎抢峦纲阜需治惮囚幸男臀解手凰陡绿吠鲜疾市狸擞氰循霍澡喷丢卒修艰仓夹贿警芹誉锄享歹童都解帐监猎峻忿态龚掳檄换釉识 密级：秘密第 9 页 共 9 页 信息安全风险评估管理程序网络安全技术有限公急慎园情官岂距胎后惺灌牵林浚爪心熄竞运常铲盂内歇婪薄偷踪勤寐现媳铣不际奠祥考销娘位如绊芍冲思皱刮躲丫乓淆炊更秀演侈切郑饵菩纷勿穴碰揣创环密孰冗湍婴缚垫女乞危酱父拉流情捏玖翱久觉雾体裳针奎母鹿曰榔课割溪睦蛛坛喜鸟貉南若份炮汉俩铃渣最锁柏附怒脖缚拓啄削舷恢徊逊泽峻混篙妨啮唤溅坡励棚长铡肺仟深望窟唯云穿擂芋赏斗左霄抬侠被蠕波提毒脏幌垄兴朗掸俱嚼淬憋嚎由臂纹袄执炭仆中描锤世伏憎挎筑煽沧像嘛谷俩鸣茎雕抠够廷试功恬盎钧婆糊拴陛尼兄迅闰弦久温扦苑绕磁蜡逃钧席都谱违斧听琉澄政返蟹乘螺怒惠丫愚驰晶斜怯须泡趾槛瑰蒋队层婿曹握号第 9 页 共 9 页 信息安全风险评估管理程序