信息安全风险评估管理程序

（ISO27001-2013）
1、目的
本程序规定了本公司所采用的信息安全风险评估方法。通过识别信息资产、风险等级评估，认知本公司的信息安全风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持本公司业务持续性发展，以满足本公司信息安全管理方针的要求。具体操作步骤，参照《信息安全风险评估指南》具体执行。
2、适用范围
本程序适用于本公司信息安全管理体系（ISMS）范围内信息安全风险评估活动。
本程序适用于第一次完整的风险评估和定期的再评估。在辨识资产时，本着尽量细化的原则进行，但在评估时我司又会把资产按照系统进行规划。辨识与评估的重点是信息资产，不区分物理资产、软件和硬件。
3、术语
无
4、职责
4.1成立风险评估小组
人事部负责牵头成立风险评估小组。
4.2策划与实施
风险评估小组每年至少一次，或当体系、组织、业务、技术、环境等影响企业的重大事项发生变更、重大事故事件发生后，负责编制信息安全风险评估计划，确认评估结果，形成《信息安全风险评估报告》。
4.3信息资产识别与风险评估活动
各部门负责本部门使用或管理的信息资产的识别和风险评估，并负责本部门所涉及的信息资产的具体安全控制工作。
4.3.1各部门负责人负责本部门的信息资产识别。
4.3.2人事部经理负责汇总、校对全公司的信息资产。
4.3.3人事部负责风险评估的策划。
4.3.4信息安全委员会负责进行第一次评估与定期的再评估。
5、程序
5.1风险评估前准备
5.1.1人事部牵头成立风险评估小组，小组成员至少应该包含：信息安全管理体系负责部门的成员、信息安全重要责任部门的成员。
5.1.2风险评估小组制定信息安全风险评估计划，下发各部门内审员。
5.1.3必要时应对各部门内审员进行风险评估相关知识和表格填写的培训。
5.2信息资产的识别
5.2.1本公司的资产范围包括：
5.2.1.1信息资产
1) 软件资产：应用软件、系统软件、开发工具和适用程序。
2) 物理资产：计算机设备、通讯设备、可移动介质和其他设备。
3) 服务：培训服务、租赁服务、公用设施（能源、电力）。
4) 人员：人员的资格、技能和经验。
5) 无形资产：组织的声誉、商标、形象。
5.2.1.2本公司的资产范围包括：
数据库、数据文件、数据合同、系统文件、研究信息、用户手册、培训教材、培训操作、培训软件、支持性程序、业务连续性计划、应变安排、审核记录、审核的追踪、归档信息。
5.2.1.3评估程序
本评估应考虑：范围、目的、时间、效果、组织文化、人员素质以及具体开展的程度等因素来确定，使之能够与组织的环境和安全要求相适应。
5.2.2资产属性赋值
5.2.2.1资产赋值是对资产安全价值的估价，而不是以资产的账面价格来衡量的。在对资产进行估价时，不仅要考虑资产的成本价格，更重要的是考虑资产对于组织业务的安全重要性，即根据资产损失所引发的潜在的商务影响来决定。为确保资产估价时的一致性和准确性，机构应按照上述原则，建立一个资产价值尺度（资产评估标准），以明确如何对资产进行赋值。
5.2.2.2资产估价的过程也就是对资产保密性、完整性和可用性影响分析的过程。影响就是由人为或突发性引起的安全事件对资产破坏的后果。这一后果可能毁灭某些资产，危及信息系统并使其丧失保密性、完整性和可用性，最终还会导致财政损失、市场份额或公司形象的损失。特别重要的是，即使每一次影响引起的损失并不大，但长期积累的众多意外事件的影响总和则可造成严重损失。一般情况下，影响主要从以下几方面来考虑：
（1）违反了有关法律或（和）规章制度
（2）影响了业务执行
（3）造成了信誉、声誉损失
（4）侵犯了个人隐私
（5）造成了人身伤害
（6）对法律实施造成了负面影响
（7）侵犯了商业机密
（8）违反了社会公共准则
（9）造成了经济损失
（10）破坏了业务活动
（11）危害了公共安全
资产安全属性的不同通常也意味着安全控制、保护功能需求的不同。通过考察三种不同安全属性，可以能够基本反映资产的价值。
5.2.2.3保密性赋值：
赋值 标识 定义
5 极高 指组织最重要的机密，关系组织未来发展的前途命运，对组织根本利益有着决定性影响，如果泄漏会造成灾难性的影响
4 高 是指包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害
3 中等 是指包含组织一般性秘密，其泄露会使组织的安全和利益受到损害
2 低 指仅在组织内部或在组织某一部门内部公开,向外扩散有可能对组织的利益造成损害
1 可忽略 对社会公开的信息，公用的信息处理设备和系统资源等信息资产
5.2.2.4完整性赋值：
赋值 标识 定义
5 极高
 完整性价值非常关键，未经授权的修改或破坏会对评估体造成重大的或无法接受、特别不愿接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补
4 高 完整性价值较高，未经授权的修改或破坏会对评估体造成重大影响，对业务冲击严重，比较难以弥补
3 中等 完整性价值中等，未经授权的修改或破坏会对评估体造成影响，对业务冲击明显，但可以弥补
2 低 完整性价值较低，未经授权的修改或破坏会对评估体造成轻微影响，可以忍受，对业务冲击轻微，容易弥补
1 可忽略
 完整性价值非常低，未经授权的修改或破坏会对评估体造成的影响可以忽略，对业务冲击可以忽略
5.2.2.5可用性赋值：
赋值 标识 定义
5 极高 可用性价值非常高，合法使用者对信息系统及资源的可用度达到年度99.9%以上
4 高 可用性价值较高，合法使用者对信息系统及资源的可用度达到每天99%以上
3 中等 可用性价值中等，合法使用者对信息系统及资源的可用度在正常上班时间达到90%以上
2 低 可用性价值较低，合法使用者对信息系统及资源的可用度在正常上班时间达到25%以上
1 可忽略 可用性价值可以忽略，法使用者对信息系统及资源的可用度在正常上班时间低于25%
5.2.2.6资产赋值
最终资产价值可以通过违反资产的保密性、完整性和可用性三个方面的程度综合确定，资产的赋值采用定性的相对等级的方式。与以上安全属性的等级相对应，资产价值的等级可分为五级，从1到5由低到高分别代表五个级别的资产相对价值，等级越大，资产越重要。具体每一级别的资产价值定义参见下表。
由于资产最终价值的等级评估是依据资产保密性、完整性、可用性的赋值级别，经过综合评定得出的，评定准则可以根据企业自身的特点，选择以安全三性中要求最高的一性的赋值级别为综合资产赋值准则。
等级 标识 资产价值定义
5 很高 资产的重要程度很高，其安全属性破坏后可能导致系统受到非常严重的影响
4 高 资产的重要程度较高，其安全属性破坏后可能导致系统受到比较严重的影响
3 中 资产的重要程度较高，其安全属性破坏后可能导致系统受到中等程度的影响
2 低 资产的重要程度较低，其安全属性破坏后可能导致系统受到较低程度的影响
1 很低 资产的重要程度都很低，其安全属性破坏后可能导致系统受到很低程度的影响，甚至忽略不计
5.2.3风险评估小组向各部门内审员发放《信息资产分类参考目录》、《信息资产风险评估表》、《信息资产识别评价表》，同时提出信息资产识别的要求。
5.2.4各部门内审员参考《信息资产分类参考目录》1识别本部门信息资产，根据《信息安全风险评估指南》中的“附录B资产重要性程度判断准则”判断其是否是重要信息资产，并填写《信息资产识别评价表》，经本部门负责人审核确认后，在风险评估计划规定的时间内提交风险评估小组审核汇总。
5.2.5风险评估小组对各部门填写的《信息资产识别评价表》进行审核，确保没有遗漏信息资产，形成各部门的《信息资产风险评估表》，并分发各部门存档。
5.3信息资产风险等级评估
5.3.1应对《信息资产风险评估表》中的所有资产进行风险评估，评估应考虑威胁事件发生的可能性和威胁事件发生后对信息资产造成的影响程度两方面因素。
5.3.2风险评估小组向各部门内审员分发《信息资产风险评估表》、《信息安全威胁参考表》1、《信息安全薄弱点参考表》1、《事件发生可能性等级对照表》1、《事件可能影响程度等级对照表》1。
5.3.3各部门内审员根据资产本身所处的环境条件,参考《信息安全威胁参考表》1识别每个信息资产所面临的威胁，针对每个威胁，识别目前已有的控制；并参考《信息安全薄弱点参考表》1识别可能被该威胁所利用的薄弱点；在考虑现有的控制前提下，参考《事件发生可能性等级对照表》1判断每项信息资产所面临威胁发生的可能性；参考《事件可能影响程度等级对照表》1，判断威胁利用薄弱点可能使信息资产保密性、完整性或可用性丢失所产生的影响程度等级。将结果填写在《信息资产风险评估表》上，提交风险评估小组审核汇总。
5.3.4风险评估小组考虑本公司整体的信息安全要求，对各部门填写的《信息资产风险评估表》进行审核，确保风险评估水平的一致性，确保没有遗漏信息安全风险。如果对评估结果进行修改，应该和资产责任部门进行沟通并获得该部门的确认。
5.3.5风险评估小组根据《信息安全风险矩阵计算表》1计算风险等级，把风险等级最高的一级或者两级资产列为《重要信息资产清单》，并存档。
5.4不可接受风险的确定和处理
5.4.1风险评估小组根据《信息安全风险接受准则》1，确定风险的可接受性；针对不可接受风险编制《信息安全不可接受风险处理计划》，该计划应该规定风险处理方式、责任部门和时间进度；编制《信息安全风险评估报告》，陈述本公司信息安全管理现状，分析存在的信息安全风险，提出信息安全管理（控制）的建议与措施，附《信息安全不可接受风险处理计划》提交信息安全管理委员会进行审核，由ISMS管理者代表批准实施。
5.4.2各责任部门按照《信息安全不可接受风险处理计划》的要求采取有效安全控制措施后,原评估部门重新评估其计划效果，降至可接受为止，确保所采取的控制措施是充分的，该措施直到为再次风险评估的输入。
5.5评估时机
5.5.1每年重新评估一次，以确定是否存在新的威胁或薄弱点及是否需要增加新的控制措施，对发生以下情况需及时进行风险评估：
a)当发生重大信息安全事故时；
b)当信息网络系统发生重大更改时；
c)信息安全管理委员会确定有必要时。
5.5.2各部门对新增加、转移的或授权销毁的信息资产应及时按照本程序在《信息资产识别评价表》、《重要信息资产清单》上予以添加或变更。
6、相关/支持性文件
《信息安全适用性声明》
《信息安全管理手册》
《文件和资料管理程序》
7、记录
《信息安全不可接受风险处理计划》
《信息安全风险评估报告》
《信息资产识别评价表》
《信息资产风险评估表》
《信息资产威胁、脆弱性评价表》
《重要信息资产清单》
★CMMI认证★CCRC认证★ISO27001认证★ITSS认证★CS认证★两化融合认证★重庆CMMI认证★重庆CCRC认证★重庆ISO27001认证★重庆ITSS认证★重庆CS认证★重庆GJB5000A认证★重庆两化融合认证★