保密风险评估与管理制度Word文档下载推荐.docx
《保密风险评估与管理制度Word文档下载推荐.docx》由会员分享,可在线阅读,更多相关《保密风险评估与管理制度Word文档下载推荐.docx(8页珍藏版)》请在冰豆网上搜索。
第七条技术部负责风险评估的策划。
第八条技术部牵头成立风险评估小组,小组成员至少应该包含:
管理保密部门的成员、重要责任部门的成员。
第九条信息资产
1)软件:
应用软件、系统软件和适用程序等。
2)硬件:
计算机设备、通讯设备、可移动介质和其他设备。
3)数据:
数据库数据、系统文档、计划、报告、用户手册、客户配置策略等
4)服务:
培训服务、租赁服务、公用设施(能源、电力)。
5)文档:
纸质的各种文件、传真、电报、财务报告、发展计划等
6)人员:
人员的资格、技能和经验。
7)其他:
组织的声誉、商标、形象。
第十条本公司的资产范围包括:
系统文件、研究信息、用户手册、培训教材、培训操作、培训软件、支持性程序、业务连续性计划、应变安排、审核记录、审核的追踪、归档信息。
第十一条评估程序
本评估应考虑:
范围、目的、时间、效果、组织文化、人员素质以及具体开展的程度等因素来确定,使之能够与组织的环境和安全要求相适应。
第十二条资产属性赋值
资产赋值是对资产安全价值的估价,而不是以资产的账面价格来衡量的。
在对资产进行估价时,不仅要考虑资产的成本价格,更重要的是考虑资产对于组织业务的安全重要性,即根据资产损失所引发的潜在的商务影响来决定。
为确保资产估价时的一致性和准确性,机构应按照上述原则,建立一个资产价值尺度(资产评估标准),以明确如何对资产进行赋值。
第十三条资产估价的过程也就是对资产保密性、完整性和可用性影响分析的过程。
影响就是由人为或突发性引起的安全事件对资产破坏的后果。
这一后果可能毁灭某些资产,危及信息系统并使其丧失保密性、完整性和可用性,最终还会导致财产损失、市场份额或公司形象的损失。
特别重要的是,即使每一次影响引起的损失并不大,但长期积累的众多意外事件的影响总和则可造成严重损失。
一般情况下,影响主要从以下几方面来考虑:
(1)违反了有关法律或(和)规章制度
(2)影响了业务执行
(3)造成了信誉、声誉损失
(4)侵犯了个人隐私
(5)造成了人身伤害
(6)对法律实施造成了负面影响
(7)侵犯了商业机密
(8)违反了社会公共准则
(9)造成了经济损失
(10)破坏了业务活动
(11)危害了公共安全
资产安全属性的不同通常也意味着安全控制、保护功能需求的不同。
通过考察三种不同安全属性,可以能够基本反映资产的价值。
第十四条保密性赋值:
赋值
标识
定义
5
极高
指组织最重要的机密,关系组织未来发展的前途命运,对组织根本利益有着决定性影响,如果泄漏会造成灾难性的影响
4
高
是指包含组织的重要秘密,其泄露会使组织的安全和利益遭受严重损害
3
中等
是指包含组织一般性秘密,其泄露会使组织的安全和利益受到损害
2
低
指仅在组织内部或在组织某一部门内部公开,向外扩散有可能对组织的利益造成损害
1
可忽略
对社会公开的信息,公用的信息处理设备和系统资源等信息资产
第十五条完整性赋值:
完整性价值非常关键,未经授权的修改或破坏会对评估体造成重大的或无法接受、特别不愿接受的影响,对业务冲击重大,并可能造成严重的业务中断,难以弥补
完整性价值较高,未经授权的修改或破坏会对评估体造成重大影响,对业务冲击严重,比较难以弥补
完整性价值中等,未经授权的修改或破坏会对评估体造成影响,对业务冲击明显,但可以弥补
完整性价值较低,未经授权的修改或破坏会对评估体造成轻微影响,可以忍受,对业务冲击轻微,容易弥补
完整性价值非常低,未经授权的修改或破坏会对评估体造成的影响可以忽略,对业务冲击可以忽略
第十六条可用性赋值:
可用性价值非常高,合法使用者对信息系统及资源的可用度达到年度99.9%以上
可用性价值较高,合法使用者对信息系统及资源的可用度达到每天99%以上
可用性价值中等,合法使用者对信息系统及资源的可用度在正常上班时间达到90%以上
可用性价值较低,合法使用者对信息系统及资源的可用度在正常上班时间达到25%以上
可用性价值可以忽略,法使用者对信息系统及资源的可用度在正常上班时间低于25%
第十七条资产赋值
最终资产价值可以通过违反资产的保密性、完整性和可用性三个方面的程度综合确定,资产的赋值采用定性的相对等级的方式。
与以上安全属性的等级相对应,资产价值的等级可分为五级,从1到5由低到高分别代表五个级别的资产相对价值,等级越大,资产越重要。
具体每一级别的资产价值定义参见下表。
由于资产最终价值的等级评估是依据资产保密性、完整性、可用性的赋值级别,经过综合评定得出的,评定准则可以根据企业自身的特点,选择以安全三性中要求最高的一种的赋值级别为综合资产赋值准则。
等级
资产价值定义
很高
资产的重要程度很高,其安全属性破坏后可能导致系统受到非常严重的影响
资产的重要程度较高,其安全属性破坏后可能导致系统受到比较严重的影响
中
资产的重要程度较高,其安全属性破坏后可能导致系统受到中等程度的影响
资产的重要程度较低,其安全属性破坏后可能导致系统受到较低程度的影响
很低
资产的重要程度都很低,其安全属性破坏后可能导致系统受到很低程度的影响,甚至忽略不计
第十八条每半年重新评估一次,以确定是否存在新的威胁或薄弱点及是否需要增加新的控制措施,对发生以下情况需及时进行风险评估:
a)当发生重大事故时;
b)当信息网络系统发生重大更改时;
c)保密工作领导小组确定有必要时。
第十九条各部门对新增加、转移的或授权销毁的资产应及时在《设备管理台账》上予以添加或变更。
第二十条保密风险评估
公司保密办公室定期对系统集成业务、人员、资产、场所等主要管理活动,进行保密风险评估。
各部门对照业务流程对保密风险进行识别、分析和评估,做出具体防控措施。
保密意识风险
领导组织结构风险
保密形势分析风险
工作方式风险
保密环境风险
管理制度措施风险
涉密资源管理风险
第二十一条保密风险防控和监督检查机制
公司要将保密防控措施融入到管理制度和业务工作流程当中,从日常监督,定期自查等方法,对保密风险进行有效的防范堵漏,逐步完善公司的监督检查机制。