信息安全风险管理程序完整版
信息安全风险管理程序 HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】
1目的
为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平，特制定本程序。
2范围
本程序适用信息安全管理体系(ISMS)范围内信息安全风险评估活动的
管理。
3职责
3.1研发中心
负责牵头成立信息安全管理委员会。
3.2信息安全管理委员会
负责编制《信息安全风险评估计划》，确认评估结果，形成《风险评估报告》及《风险处理计划》。
3.3各部门
负责本部门使用或管理的资产的识别和风险评估，并负责本部门所涉及的资产的具体安全控制工作。
4相关文件
《信息安全管理手册》
《GB-T20984-2007信息安全风险评估规范》
《信息技术安全技术信息技术安全管理指南第3部分：IT安全管理技术》
5程序
5.1风险评估前准备
①研发中心牵头成立信息安全管理委员会，委员会成员应包含信息安全重要责任
部门的成员。
②信息安全管理委员会制定《信息安全风险评估计划》，下发各部门。
③风险评估方法-定性综合风险评估方法
本项目采用的是定性的风险评估方法。定性风险评估并不强求对构成风险的各个要素（特别是资产）进行精确的量化评价，它有赖于评估者的经验判断、业界惯例以及组织自身定义的标准，来对风险要素进行相对的等级分化，最终得出的风险大小，只需要通过等级差别来分出风险处理的优先顺序即可。
综合评估是先识别资产并对资产进行赋值评估，得出重要资产，然后对重要资产进行详细的风险评估。
5.2资产赋值
①各部门信息安全管理委员会成员对本部门资产进行识别，并进行资产赋值。
资产价值计算方法：资产价值 = 保密性赋值＋完整性赋值＋可用性赋值
②资产赋值的过程是对资产在信息分类、机密性、完整性、可用性进行分析评
估，并在此基础上得出综合结果的过程。
③确定信息类别
信息分类按“资产识别参考（资产类别）”进行，信息分类不适用时，可不填写。
④机密性(C)赋值
根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的应达成的不同程度或者机密性缺失时对整个组织的影响。
⑤完整性(I)赋值
根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。⑥可用性(A)赋值
根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
资产价值判断标准
形成资产清单
各部门的《重要资产调查与风险评估表》经本部门负责人审核，报管理者代表确认。
5.3判定重要资产
①根据前面的资产机密性、完整性、可用性的赋值相加得到资产的价值，资产价值
要素标识相对价值范围等级
资产等级很高15,14,134高12,11,103一般9,8,7,62低5,4,31
②按资产价值得出重要资产，资产价值为4，3的是重要资产，资产价值为2，1的
是非重要资产。
③信息安全管理委员会对各部门资产识别情况进行审核，确保没有遗漏重要资产，
形成各部门的《资产识别清单》。
④各部门的《资产识别清单》经本部门负责人审核，报管理者代表确认，并分发各
部门存档。
5.4重要资产风险评估
①应对所有的重要资产进行风险评估，评估应考虑威胁、脆弱性、威胁事件发生的
可能性、威胁事件发生后对资产造成的影响程度、风险的等级、风险是否在可接受范围内及已采取的措施等方面因素。
②识别威胁
威胁是对组织及其资产构成潜在破坏的可能性因素，造成威胁的因素可分为
人为因素和环境因素。威胁作用形式可以是对信息系统直接或间接的攻击，
例如非授权的泄露、篡改、删除等，在保密性、完整性或可用性等方面造成
损害；也可能是偶发的、或蓄意的事件。
威胁可基于表现形式分类，基于表现形式的威胁分类标准可参考下表：
威胁分类表
种类描述威胁子类
软硬件故障对业务实施或系统运行产生影响的设备
硬件故障、通讯链路中断、系统本身或
软件缺陷等问题
设备硬件故障、传输设备故障、
存储媒体故障、系统软件故障、
应用软件故障、数据库软件故
障、开发环境故障等
物理环境影响对信息系统正常运行造成影响的物理环
境问题和自然灾害
断电、静电、灰尘、潮湿、温
度、鼠蚁虫害、电磁干扰、洪
灾、火灾、地震等
无作为或操作失误应该执行而没有执行相应的操作，或无
意执行了错误的操作
维护错误、操作失误等
管理不到位安全管理无法落实或不到位，从而破坏
信息系统正常有序运行
管理制度和策略不完善、管理规
程缺失、职责不明确、监督控管
机制不健全等
恶意代码故意在计算机系统上执行恶意任务的程
序代码
病毒、特洛伊木马、蠕虫、陷
门、间谍软件、窃听软件等
越权或滥用通过采用一些措施，超越自己的权限访
问了本来无权访问的资源，或者滥用自
己的权限，做出破坏信息系统的行为
非授权访问网络资源、非授权访
问系统资源、滥用权限非正常修
改系统配置或数据、滥用权限泄
露秘密信息等
网络攻击利用工具和技术通过网络对信息系统进
行攻击和入侵
网络探测和信息采集、漏洞探
测、嗅探（帐号、口令、权限
等）、用户身份伪造和欺骗、用
户或业务数据的窃取和破坏、系
统运行的控制和破坏等
物理攻击通过物理的接触造成对软件、硬件、数
据的破坏
物理接触、物理破坏、盗窃等
泄密信息泄露给不应了解的他人内部信息泄露、外部信息泄露等
篡改非法修改信息，破坏信息的完整性使系
统的安全性降低或信息不可用
篡改网络配置信息、篡改系统配
置信息、篡改安全配置信息、篡
改用户身份信息或业务数据信息
等
抵赖不承认收到的信息和所作的操作和交易原发抵赖、接收抵赖、第三方抵赖等
各部门根据资产本身所处的环境条件，识别每个资产所面临的威胁。
③识别脆弱性
脆弱性是对一个或多个资产弱点的总称。脆弱性是资产本身存在的，如果没
有相应的威胁发生，单纯的脆弱性本身不会对资产造成损害。而且如果系统
足够强健，再严重的威胁也不会导致安全事件，并造成损失。即，威胁总是
要利用资产的脆弱性才可能造成危害。
资产的脆弱性具有隐蔽性，有些脆弱性只有在一定条件和环境下才能显现，
这是脆弱性识别中最为困难的部分。需要注意的是，不正确的、起不到应有
作用的或没有正确实施的安全措施本身就可能是一个脆弱性。
脆弱性识别将针对每一项需要保护的资产，找出可能被威胁利用的脆弱性，
并对脆弱性的严重程度进行评估。脆弱性识别时的数据应来自于资产的所有
者、使用者，以及相关业务领域的专家和软硬件方面的专业人员。
脆弱性识别主要从技术和管理两个方面进行，技术脆弱性涉及物理层、网络
层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理
和组织管理两方面，前者与具体技术活动相关，后者与管理环境相关。
序号类别薄弱点威胁
1. 环境和基
础设施
建筑物/门以及窗户缺少物理保护例如,可能会被偷窃这一威胁所利用
●对建筑物\房间物理进入控制不充分,
或松懈
可能会被故意损害这一威胁所利用
●电网不稳定可能会被功率波动这一威胁所利用●所处位置容易受到洪水袭击可能会被洪水这一威胁所利用
2. 硬件缺少定期替换计划可能会被存储媒体退化这一威胁所利用
●容易受到电压不稳定的侵扰可能会被功率波动这一威胁所利用
●容易受到温度变化的侵扰可能会温度的极端变化这一威胁所利用
●容易受到湿度、灰尘和污染的侵扰可能会被灰尘这一威胁所利用
●对电磁辐射的敏感性可能会被电磁辐射这一威胁所利用●不充分的维护/存储媒体的错误安装可能会被维护失误这一威胁所利用
●缺少有效的配置变化控制可能会被操作职员失误这一威胁所利用
3. 软件开发人员的说明不清楚或不完整可能会被软件故障这一威胁所利用
●没有软件测试或软件测试不充分可能会被未经授权许可的用户使用软件这一威胁所利用
●复杂的用户界面可能会被操作职员失误这一威胁所利用
●缺少识别和鉴定机制，如：用户鉴定可能会被冒充用户身份这一威胁所利用
●缺少审核跟踪可能会被以未经授权许可的方式使用软件这一威胁所利用
●软件中存在众所周知的缺陷可能会被软件未经许可的用户使用软件这一威胁所利用
●口令表没有受到保护可能会被冒充用户身份这一威胁所利
脆弱性识别内容表
类型识别对象识别内容
技术脆弱性
物理环境
从机房场地、机房防火、机房供配
电、机房防静电、机房接地与防雷、
电磁防护、通信线路的保护、机房区
域防护、机房设备管理等方面进行识
别
网络结构
从网络结构设计、边界保护、外部访
问控制策略、内部访问控制策略、网
络设备安全配置等方面进行识别
系统软件
从补丁安装、物理保护、用户帐号、
口令策略、资源共享、事件审计、访
问控制、新系统配置、注册表加固、
网络安全、系统管理等方面进行识别应用中间件
从协议安全、交易完整性、数据完整
性等方面进行识别
应用系统
从审计机制、审计存储、访问控制策
略、数据完整性、通信、鉴别机制、
密码保护等方面进行识别
管理脆弱性技术管理
从物理和环境安全、通信与操作管
理、访问控制、系统开发与维护、业
务连续性等方面进行识别
组织管理
从安全策略、组织安全、资产分类与
控制、人员安全、符合性等方面进行
识别
④威胁利用脆弱性发生风险之后的影响后果描述
⑤风险描述
⑥识别现有控制措施
⑦评估威胁发生的可能性
分析威胁利用脆弱性给资产造成损害的可能性。
确定各个威胁利用脆弱性造成损害的可能性。
判断每项重要资产所面临威胁发生的可能性时应注意：
威胁事件本身发生的可能性；
现有的安全控制措施；
现存的安全脆弱性。
要素标识发生的频率等级
威胁利用弱点导致危害的可能性很高
出现的频率很高（或
≥1 次/周）；或在
大多数情况下几乎不
可避免；或可以证实
经常发生过
5高
出现的频率较高（或
≥ 1 次/月）；或在
大多数情况下很有可
能会发生；或可以证
4
实多次发生过
一般出现的频率中等
（或> 1 次/半
年）；或在某种情况
下可能会发生；或被
证实曾经发生过
3
低出现的频率较小；或
一般不太可能发生；
或没有被证实发生过
2
很低威胁几乎不可能发
生；仅可能在非常罕
见和例外的情况下发
生
1
⑧影响程度分析
影响程度指一旦威胁事件实际发生时，将给资产带来多大程度的损失。
在分析时，可以从影响相关方和影响业务连续性两个不同维度方面来评估打分。
如果改风险可能引起法律起诉，则影响程度值为最高5分。
要素标识严重程度等级
威胁被利用后的严重性很高
如果被威胁利用，将
对公司重要资产造成
重大损害
5高
如果被威胁利用，将
对重要资产造成一般
损害
4一般
如果被威胁利用，将
对一般资产造成重要
损害
3低
如果被威胁利用，将
对一般资产造成一般
损害
2很低
如果被威胁利用，将
对资产造成的损害可
以忽略
1
⑨风险的等级
风险值由威胁发生的可能性、影响程度和资产价值这三个因素共同决定。
风险值计算方法：风险值 = 威胁发生可能性 * （威胁发生对保密性的影响+威胁发生对完整性的影响+威胁发生对可用性的影响）
风险等级标准见下表：
要素标识风险值范围级别可接受准则
风险级别
高风险>20 4
风险不可接受，必须
立即采取有效的措施
降低风险
较高风险>15 且 <=20 3
风险可以接受，但需
要采取进一步措施降
低风险
一般风险>10 且 <=152
风险可以接受
低风险<=101
⑩建议控制措施
安全措施可以分为预防性安全措施和保护性安全措施两种。预防性安全措施
可以降低威胁利用脆弱性导致安全事件发生的可能性，如入侵检测系统；保
护性安全措施可以减少因安全事件发生对信息系统造成的影响，如业务持续
性计划。
建议控制措施的确认与脆弱性识别存在一定的联系。一般来说，安全措施的
使用将减少脆弱性，但安全措施的确认并不需要与脆弱性识别过程那样具体
到每个资产、组件的脆弱性，而是一类具体措施的集合。
5.5不可接受风险的确定
①通过预制的风险的可接受准则，进行风险可接受性判定（是否高风险），并生成
各部门的《重要资产调查与风险评估表》表单。
②各部门的《重要资产调查与风险评估表》经本部门负责人审核，报管理者代表批
准。
5.6风险处理
①对风险应进行处理。对可接受风险，可保持已有的安全措施；如果是不可接受风
险（高风险），则需要采取安全措施以降低、控制风险。
②对不可接受风险，应采取新的风险处理的措施，规定风险处理方式、责任部门和
时间进度，高风险应得到优先的考虑。
③信息安全管理委员会根据《重要资产调查与风险评估表》编制《风险处置计
划》。
④信息安全管理委员会根据《重要资产调查与风险评估表》编制《风险评估报
告》，陈述信息安全管理现状，分析存在的信息安全风险，提出信息安全管理
（控制）的建议与措施。
⑤管理者代表考虑成本与风险的关系，对《风险评估报告》及《风险处理计划》的
相关内容审核，对认为不合适的控制或风险处理方式等提出说明，由信息安全管理委员会协同相关部门重新考虑管理者代表的意见，选择其他的控制或风险处理方式，并重新提交管理者代表审核批准实施。
⑥各责任部门按照批准后的《风险处理计划》的要求采取有效安全控制措施，确保
所采取的控制措施是有效的。
⑦如果降低风险所付出的成本大于风险所造成的损失，则选择接受风险。
5.7剩余风险评估
①对采取安全措施处理后的风险，信息安全管理委员会进行再评估，以判断实施安
全措施后的残余风险是否已经降低到可接受的水平。
②某些风险可能在选择了适当的安全措施后仍处于不可接受的风险范围内，应考虑
是否接受此风险或进一步增加相应的安全措施。
③剩余风险评估完成后，剩余风险报管理者代表审核、总经理批准。
5.8信息安全风险的连续评估
①信息安全管理委员会每年应组织对信息安全风险重新评估一次，以适应信息资产
的变化，确定是否存在新的威胁或脆弱性及是否需要增加新的控制措施。
②当企业发生以下情况时需及时进行风险评估：
当发生重大信息安全事故时；
当信息网络系统发生重大更改时；
信息安全管理委员会确定有必要时。
③各部门对新增加、转移的或授权销毁的资产应及时在《重要信息资产识别表》及
《风险评估表》中予以添加或变更。
5.9资产识别参考
◎资产类别
类别资产名称
人员资产总裁/副总裁
人员资产部门总经理
人员资产工程师
人员资产项目经理
人员资产网管
人员资产职员
软件资产软件操作系统
软件资产开发软件
软件资产服务软件
软件资产财务软件
软件资产工具类软件
软件资产应用软件
6记录
《信息安全风险评估计划》ECP-ISMS-JL-03-01 《风险评估报告》ECP-ISMS-JL-03-02
《资产识别清单》ECP-ISMS-JL-03-03
《重要资产调查与风险评估表》ECP-ISMS-JL-03-04 《风险处置计划》ECP-ISMS-JL-03-05
信息安全风险管理程序69382
1目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平，特制定本程序。 2范围 本程序适用信息安全管理体系(ISMS)范围内信息安全风险评估活动的管理。 3职责 3.1研发中心 负责牵头成立信息安全管理委员会。 3.2信息安全管理委员会 负责编制《信息安全风险评估计划》，确认评估结果，形成《风险评估报告》及《风险处理计划》。 3.3各部门 负责本部门使用或管理的资产的识别和风险评估，并负责本部门所涉及的资产的具体安全控制工作。 4相关文件 《信息安全管理手册》 《GB-T20984-2007信息安全风险评估规范》 《信息技术安全技术信息技术安全管理指南第3部分：IT安全管理技术》 5程序 5.1风险评估前准备 ①研发中心牵头成立信息安全管理委员会，委员会成员应包含信息安全重要责任部门的成员。 ②信息安全管理委员会制定《信息安全风险评估计划》，下发各部门。 ③风险评估方法-定性综合风险评估方法 本项目采用的是定性的风险评估方法。定性风险评估并不强求对构成风险的各个要素（特别是资产）进行精确的量化评价，它有赖于评估者的经验判断、业界惯例以及组织自身定义的标准，来对风险要素进行相对的等级分化，最终得出的风险大小，只需要通过等级差别来分出风险处理的优先顺序即可。 综合评估是先识别资产并对资产进行赋值评估，得出重要资产，然后对重要资产进行详细的风险评估。
5.2资产赋值 ①各部门信息安全管理委员会成员对本部门资产进行识别，并进行资产赋值。 资产价值计算方法：资产价值= 保密性赋值＋完整性赋值＋可用性赋值 ②资产赋值的过程是对资产在信息分类、机密性、完整性、可用性进行分析评估，并在此基础上 得出综合结果的过程。 ③确定信息类别 信息分类按“资产识别参考（资产类别）”进行，信息分类不适用时，可不填写。 ④机密性(C)赋值 根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的 应达成的不同程度或者机密性缺失时对整个组织的影响。 ⑤完整性(I)赋值 根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的 达成的不同程度或者完整性缺失时对整个组织的影响。 ⑥可用性(A)赋值 根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的 达成的不同程度。
信息安全事故管理办法
信息安全事故管理办法 第一章总则 第一条目的：为加强公司信息系统安全事故的管理，提高信息系统安全事故管理的制度化、规范化水平，及时掌握全行网络和信息系统安全状况，为协调组织相关力量进行信息系统安全事故的应急响应处理奠定基础，降低信息安全事故带来的损失和影响，保障全行网络和信息系统安全稳定运行，特订定本管理办法。 第二条依据：本管理办法根据《公司信息安全管理策略》制订。 第三条范围：本办法适用于全公司信息系统。 第四条定义：信息安全事故是指对任何信息技术资源合法使用、操作造成威胁的事件，或对信息技术资源具有潜在危险的任何一种情况。 第五条总部DXC负责信息安全事故的接报、汇总、通报和处置工作。DXC 安全科负责人为信息安全事故协调员，并指定代理信息安全事故协调员。 第二章信息安全事故的范围 第六条公司信息安全事故包括，但不限于： (一)系统感染计算机病毒。 (二)公司网络遭遇外部入侵或攻击。 (三)内部人员利用公司网络进行破坏。 (四)信息系统敏感数据泄露或失窃。 (五)公司数据处理设备失窃。
第七条符合以下条件之一的信息安全事故必须报告： (一)导致计算机信息系统中断或运行不正常超过4小时。 (二)造成直接经济损失超过100万元。 (三)严重威胁公司资金、信誉安全。 (四)因计算机安全事故造成公司不能正常运营，且影响范围超过一个县级行政区域。 第三章信息安全事故的监控和处理 第八条安全事故管理分为安全事故监控和安全事故处理。安全事故监控完成对安全事故迹象的检测和分析，发现和报告安全事故的存在。安全事故处理是对被发现的安全事故的响应处理过程，包括四个主要阶段：控制、证据收集、根除与恢复以及事后分析。 第九条安全事故监控包括信息安全事故监测、预测和预警，应按照“早发现、早报告、早处置”的原则，加强对各类信息安全事故和可能引发信息安全事故的有关信息的收集、分析判断和持续监测。 第十条员工发现公司发生信息安全事故后，需向信息安全事故协调员报告，确认故障情况，确认故障处理时间，准确定性故障级别，如果不能联系上信息安全事故协调员，则向代理信息安全事故协调员报告。 第十一条生产运行环境出现的安全事故按照《信息系统应急预案》执行。 第十二条信息安全事故协调员接到报告后，需立即采取措施控制事态，如断开受病毒感染的系统的网络连接，及时通知DXC安全科和用户部门负责人，协调控制事件的影响。保留相关的防火墙、路由器、入侵检测系统、操作和应
信息安全管理方案计划经过流程
信息安全管理流程说明书 （S-I）
信息安全管理流程说明书 1 信息安全管理 1.1目的 本流程目的在于规范服务管理和提供人员在提供服务流程中应遵循和执行的相关活动，保证信息安全管理目标的实现，满足SLA中的信息安全性需求以及合同、法律和外部政策等的要求。 1) 在所有的服务活动中有效地管理信息安全； 2) 使用标准的方法和步骤有效而迅速的处理各种与信息安全相关的问题，识别并跟 踪组织内任何信息安全授权访问； 3) 满足服务级别协议、合同、相关法规所记录的各项外部信息安全需求； 4) 执行操作级别协议和基础合同范围内的信息安全需求。 1.2范围 本安全管理流程的规定主要是针对由公司承担完全维护和管理职责的IT系统、技术、资源所面临的风险的安全管理。 向客户提供服务的相关人员在服务提供流程中所应遵循的规则依据公司信息安全管理体系所设定的安全管理规定，以及客户自身的相关安全管理规定。 公司内部信息、信息系统等信息资产相关的安全管理也应遵循公司信息安全管理体系所设定的安全管理规定。 2术语和定义 2.1相关ISO20000的术语和定义 1) 资产（Asset）：任何对组织有价值的事物。 2) 可用性（Availability）：需要时，授权实体可以访问和使用的特性。 3) 保密性（Confidentiality）：信息不可用或不被泄漏给未授权的个人、实体和流程的 特性。 4) 完整性（Integrity）：保护资产的正确和完整的特性。
5) 信息安全（Information security）：保护信息的保密性、完整性、可用性及其他属 性，如：真实性、可核查性、可靠性、防抵赖性。 6) 信息安全管理体系（Information security management system ISMS）：整体管理 体系的一部分，基于业务风险方法以建立、实施、运行、监视、评审、保持和改 进信息安全。 7) 注：管理体系包括组织机构、策略、策划、活动、职责、惯例、程序、流程和资 源。 8) 风险分析（Risk analysis）：系统地使用信息以识别来源和估计风险。 9) 风险评价（Risk evaluation）：将估计的风险与既定的风险准则进行比较以确定重 要风险的流程。 10) 风险评估（Risk assessment）：风险分析和风险评价的全流程。 11) 风险处置（Risk treatment）：选择和实施措施以改变风险的流程。 12) 风险管理（Risk management）：指导和控制一个组织的风险的协调的活动。 13) 残余风险（Residual risk）：实施风险处置后仍旧残留的风险。 2.2其他术语和定义 1) 文件（document）：信息和存储信息的媒体； 注1：本标准中，应区分记录与文件，记录是活动的证据，文件是目标的证据； 注2：文件的例子，如策略声明、计划、程序、服务级别协议和合同； 2) 记录（record）：描述完成结果的文件或执行活动的证据； 注1：在本标准中，应区分记录与文件，记录是活动的证据，文件是目标的证据； 注2：记录的例子，如审核报告、变更请求、事故响应、人员培训记录； 3) KPI：Key Performance Indicators 即关键绩绩效指标；也作Key Process Indication即关键流程指标。是通过对组织内部流程的关键参数进行设置、取样、 计算、分析，衡量流程绩效的一种目标式量化管理指标，流程绩效管理的基础。
信息安全风险管理程序
城云科技（杭州）有限公司信息安全风险管理程序
目录
第一章目的 第一条目的：指导信息安全组织针对信息系统及其管理开展的信息风险评估工作。本指南定义了风险评估的基本概念、原理及实施流程；对资产、威胁和脆弱性识别要求进行了详细描述。 第二章范围 第二条范围：适用于风险评估组开展各项信息安全风险评估工作。 第三章名词解释 第三条资产 对组织具有价值的信息或资源，是安全策略保护的对象。 第四条资产价值 资产的重要程度或敏感程度的表征。资产价值是资产的属性，也是进行资产识别的主要内容。资产价值通过机密性、完整性和可用性三个方面评估计算获得。 （一）机密性（Confidentiality）：确保只有经过授权的人才能访问信息； （二）完整性（Integrality）：保护信息和信息的处理方法准确而完整； （三）可用性（Availability）：确保经过授权的用户在需要时可以访问信息并使用相关信息资产。 第五条威胁 可能导致对系统或组织危害的不希望事故潜在起因。 第六条脆弱性 可能被威胁所利用的资产或若干资产的弱点。 第七条信息安全风险 人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。 第八条信息安全评估 依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储
的信息的机密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。 第九条残余风险 采取了安全措施后，信息系统仍然可能存在的风险。 第四章风险评估方法 第十条风险管理模型 图1 风险管理模型 图1为风险管理的基本模型，椭圆部分的内容是与这些要素相关的属性。风险管理围绕着资产、威胁、脆弱性和安全措施这些基本要素展开。信息安全风险评估在对风险管理要素的评估过程中，需要充分考虑业务战略、资产价值、安全需求、安全事件、残余风险等与这些基本要素相关的各类属性。 图1中的风险管理要素及属性之间存在着以下关系： （一）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小； （二）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价
信息安全事件报告和处置管理制度.doc
安全事件报告和处置管理制度 文号：版本号： 编制：审核：批准： 一、目的 提高处置网络与信息安全突发公共事件的能力，形成科学、有效、反应迅速的应急工作机制，确保重要计算机信息系统的实体安全、运行安全和数据安全，最大限度地减轻网络与信息安全突发公共事件的危害，保障国家和人民生命财产的安全，保护公众利益，维护正常的政治、经济和社会秩序。 二、适用范围 本预案适用于本局发生的网络与信息安全突发公共事件和可能导致网络与信息安全突发公共事件的应对工作。 本预案启动后，本局其它网络与信息安全应急预案与本预案相冲突的，按照本预案执行；法律、法规和规章另有规定的从其规定。 三、职责 本预案由局信中心制订，报局领导批准后实施。局有关部门应根据本预案，制定部门网络与信息安全应急预案，并报局信息中心备案。 结合信息网络快速发展和我局经济社会发展状况，配合相关法律法规的制定、修改和完善，适时修订本预案。 本预案自印发之日起实施。 四、要求 1. 工作原则 预防为主：立足安全防护，加强预警，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定的重要信息系统，从预防、监控、应急处理、应急保障和打击犯罪等环节，在法律、管理、技术、人才等方面，采取多种措施，充分发挥各方面的作用，共同构筑网络与信息安全保障体系。 快速反应：在网络与信息安全突发公共事件发生时，按照快速反应机制，及时获取充分而准确的信息，跟踪研判，果断决策，迅速处置，最大程度地减少危害和影响。 以人为本：把保障公共利益以及公民、法人和其他组织的合法权益的安全作为首要任务，及时采取措施，最大限度地避免公民财产遭受损失。
分级负责：按照“谁主管谁负责、谁运营谁负责、谁使用谁负责”以及“条块结合，以条为主”的原则，建立和完善安全责任制及联动工作机制。根据部门职能，各司其职，加强部门间、地局间的协调与配合，形成合力，共同履行应急处置工作的管理职责。 常备不懈：加强技术储备，规范应急处置措施与操作流程，定期进行预案演练，确保应急预案切实有效，实现网络与信息安全突发公共事件应急处置的科学化、程序化与规范化。 2 组织指挥机构与职责 发生网络与信息安全突发公共事件后，应成立局网络与信息安全应急协调小组(以下简称局协调小组)，为本局网络与信息安全应急处置的组织协调机构，负责领导、协调全局网络与信息安全突发公共事件的应急处置工作。局网络与信息安全协调小组下设办公室(以下简称局协调小组办公室)，负责日常工作和综合协调，并与公安网监部门进行联系。 3 先期处置 （1）当发生网络与信息安全突发公共事件时，事发部门应做好先期应急处置工作，立即采取措施控制事态，同时向相关局级主管部门通报。 （2）网络与信息安全事件分为四级:特别重大(Ⅰ级)、重大(Ⅱ级)、较大(Ⅲ级)、一般(Ⅳ级)。 （3）局级主管部门在接到本系统网络与信息安全突发公共事件发生或可能发生的信息后，应加强与有关方面的联系，掌握最新发展态势。对Ⅲ级或Ⅳ级的网络与信息安全突发公共事件，由该局级主管部门自行负责应急处置工作。对有可能演变为Ⅱ级或Ⅰ级的网络与信息安全突发公共事件，要为局协调小组处置工作提出建议方案，并作好启动本预案的各项准备工作。局级主管部门要根据网络与信息安全突发公共事件发展态势，视情况决定赶赴现场指导、组织派遣应急支援力量，支持事发部门做好应急处置工作。 4 应急处置 4.1 应急指挥 本预案启动后，根据局协调小组会议的部署，担任总指挥的领导和参与指挥的领导迅速赶赴相应的指挥平台，进入指挥岗位，启动指挥系统。相关联动部门按照本预案确定的有关职责立即开展工作。
信息安全事件管理程序.docx
信息安全事件管理程序 1 目的 为建立一个适当的信息安全事件、薄弱点和故障报告、反应与处理机制，减少信息安全事件和故障所造成的损失，采取有效的纠正与预防措施，特制定本程序。 2 范围 本程序适用于XXX业务信息安全事件的管理。 3 职责 3.1 信息安全管理流程负责人 ? 确定信息安全目标和方针； ? 确定信息安全管理组织架构、角色和职责划分； ? 负责信息安全小组之间的协调，内部和外部的沟通； ? 负责信息安全评审的相关事宜； 3.2 信息安全日常管理员 ? 负责制定组织中的安全策略； ? 组织安全管理技术责任人进行风险评估； ? 组织安全管理技术责任人制定信息安全改进建议和控制措施； ? 编写风险改进计划； 3.3 信息安全管理技术责任人 ? 负责信息安全日常监控； ? 信息安全风险评估；
? 确定信息安全控制措施； ? 响应并处理安全事件。 4 工作程序 4.1 信息安全事件定义与分类 信息安全事件是指信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接影响（后果）的。 造成下列影响（后果）之一的，均为一般信息安全事件。 a) XXX秘密泄露； b) 导致业务中断两小时以上； c) 造成信息资产损失的火灾； d) 损失在一万元人民币（含）以上的故障/事件。 造成下列影响（后果）之一的，属于重大信息安全事件。 a) 组织机密泄露； b) 导致业务中断十小时以上； c) 造成机房设备毁灭的火灾； d) 损失在十万元人民币（含）以上的故障/事件。 4.2 信息安全事件管理流程 ? 由信息安全管理负责人组织相关的运维技术人员根据XXX对信息安全的要求，确认代码管理相关信息系统的安全需求； ? 对代码管理相关信息系统进行信息安全风险评估，预测风险类型、
信息安全管理办法
信息安全管理办法
信息安全管理办法 第一章总则 第一条为加强公司信息安全管理，推进信息安全体系建设，保障信息系统安全稳定运行，根据国家有关法律、法规和《公司信息化工作管理规定》，制定本办法。 第二条本办法所指的信息安全管理，是指计算机网络及信息系统（以下简称信息系统）的硬件、软件、数据及环境受到有效保护，信息系统的连续、稳定、安全运行得到可靠保障。 第三条公司信息安全管理坚持“谁主管谁负责、谁运行谁负责”的基本原则，各信息系统的主管部门、运营和使用单位各自履行相关的信息系统安全建设和管理的义务与责任。 第四条信息安全管理，包括管理组织与职责、信息安全目标与工作原则、信息安全工作基本要求、信息安全监控、信息安全风险评估、信息安全培训、信息安全检查与考核。 第五条本办法适用于公司总部、各企事业单位及其全体员工。 第二章信息安全管理组织与职责 第六条公司信息化工作领导小组是信息安全工作的最高决策机构，负责信息安全政策、制度和体系建设规划的审批，部署并协调信息安全体系建设，领导信息系统等级保护工作。 第七条公司建立和健全由总部、企事业单位以及信息技术支持单位三方面组成，协调一致、密切配合的信息安全组织和责任体系。各级信息安全组织均要明确主管领导，确定相关责任，设置相应岗位，配
备必要人员。 第八条信息管理部是公司信息安全的归口管理部门，负责落实信息化工作领导小组的决策，实施公司信息安全建设与管理，确保重要信息系统的有效保护和安全运行。具体职责包括：组织制定和实施公司信息安全政策标准、管理制度和体系建设规划，组织实施信息安全项目和培训，组织信息安全工作的监督和检查。 第九条公司保密部门负责信息安全工作中有关保密工作的监督、检查和指导。 第十条企事业单位信息部门负责本单位信息安全的管理，具体职责包括：在本单位宣传和贯彻执行信息安全政策与标准，确保本单位信息系统的安全运行，实施本单位信息安全项目和培训，追踪和查处本单位信息安全违规行为，组织本单位信息安全工作检查，完成公司部署的信息安全工作。 第十一条技术支持单位在信息管理部的领导下，承担所负责的信息系统和所在区域的信息安全管理任务，主要包括：在所维护系统和本区域内宣传和贯彻信息安全政策与标准，确保所负责信息系统的安全运行。 第十二条各级信息管理部门设立信息安全管理和技术岗位，包括信息安全、应用系统、数据库、操作系统、网络负责人和管理员，重要岗位可设置两个员工互为备份。 第十三条信息安全岗位的设立应遵循职责分离的要求，包括：制度监督者与执行者分离，信息系统授权者与操作者分离，应用系统管理
信息安全风险识别与评价管理程序
信息安全风险识别与评 价管理程序 文件编码（GHTU-UITID-GGBKT-POIU-WUUI-8968）
通过风险评估，采取有效措施，降低威胁事件发生的可能性，或者减少威胁事件造成的影响，从而将风险消减到可接受的水平。 二、范围： 适用于对信息安全管理体系信息安全风险的识别、评价、控制等管理。 三、责任： 管理者代表 信息中心执行信息安全风险的识别与评价；审核并批准重大信息安全风险，并负责编制《信息资产风险评估准则》，执行信息安全风险调查与评价，提出重大信息安全风险报告。 各部门 协助信息中心的调查，参与讨论重大信息安全风险的管理办法。 四、内容： 资产识别 保密性、完整性和可用性是评价资产的三个安全属性。风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。安全属性达成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性、以及已采用的安全措施都将对资产安全属性的达成程度产生影响。为此，应对组织中的资产进行识别。 在一个组织中，资产有多种表现形式；同样的两个资产也因属于不同的信息系统而重要性不同，而且对于提供多种业务的组织，其支持业务持续运行的系统数量可能更多。这时首先需要将信息系统及相关的资产进行恰当的分类，以此为基础进行下一步的风险评估。在实际工作中，具体的资产分类方法可以根据具体的评估对象和要求，由评估者灵活把握。根据资产的表现形式，可将资产分为数据、软件、硬件、服务、人员等类型。 表1 列出了一种资产分类方法。
信息分类的重要度分为5类:国家秘密事项、企业秘密事项、敏感信息事项、一般事项和公开事项。 信息分类定义： a)“国家秘密事项”：《中华人民共和国保守国家秘密法》中指定的秘密事； b)“企业秘密事项”：不可对外公开、若泄露或被篡改会对本公司的生产经营造成损害，或者由于业务上的需要仅限有关人员知道的商业秘密事项； c)“敏感信息事项”：为了日常的业务能顺利进行而向公司员工公司开、但不可向公司以外人员随意公开的内部控制事项； d)“一般事项”：秘密事项以外，仅用来传递信息、昭示承诺或对外宣传所涉及的事项； e)“公开事项”：其他可以完全公开的事项。 信息分类不适用时，可不填写。
重大事件期间网络与信息安全管理规定
**集团有限公司 重大事件期间网络与信息安全管理规定（试行） 第一章总则 第一条为切实做好**集团有限公司网络与信息安全防护工作，建立有效的安全防护体系，进一步提高预防和控制网络与信息安全突发事件的能力和水平，减轻或消除突发事件的危害和影响，确保重大事件期间网络与信息安全，制定本管理规定。 第二条本规定所指的重大事件是指需要保供电的国家、省政府层面的重大活动，如重大会议、重大体育赛事等。 第三条集团公司重大事件期间网络与信息安全管理要坚持以加强领导，落实信息安全责任地；高度重视，强化安全防范措施；周密部署，加强各相关方协作为原则，以确保重大事件期间不出现因网络与信息安全问题造成不良的社会影响，确保重大事件期间不出现因网络与信息安全问题造成的安全生产事故为目标。 第四条集团公司重大事件期间网络与信息安全管理工作范围包括：集团广域网、各局域网、电力二次系统、重要信息系统以及信息安全。各单位的网络与信息安全专项工作组应在集团公司网络与信息安全应急工作小组的指导下，负责本单位网络与信息安全防范和整改工作。
第五条重大事件期间在时间上分为三个阶段，分别是准备阶段、实施阶段和总结阶段。时间划分为重大事件起始日期前两个月为准备阶段；从重大事件起始日期至结束日期为实施阶段；从重大事件结束日期后半个月为总结阶段。各阶段网络与信息安全的管理工作内容有所侧重。 第六条本规定适用于集团公司总部和系统各单位。 第七条集团公司重大事件期间网络与信息安全管理工作由集团公司信息中心归口管理。 第二章准备阶段管理 第八条组织开展网络与信息安全查检工作，网络与信息安全采取自查和现场抽查相结合的方式，先开展各单位内部的网络与信息安全自查，在各单位自查的基础上，由集团公司组织相关人员对部分单位进行现场专项检查。 第九条网络与信息安全检查内容至少应包括管理制度建设、网络边界完整性检查和访问控制、电力二次系统安全分区、电力二次系统网络接口及防护、电力二次系统通用防护措施、安全审计、已采取的防范网络攻击技术措施、重要网站网页自动恢复措施、网络设备防护、系统运行日志留存及数据备份措施等。具体的检查内容见附件1《网络与信息安全检查表》。 第十条对于检查发现的安全陷患，各单位应制定整改
系统运维管理-信息安全事件管理办法.doc
系统运维管理-信息安全事件管理办法1 系统运维管理 信息安全事件管理办法 XXX室 目录 编写说明(3) 第一章总则(4) 第二章信息安全事件定义(4) 第三章组织职责(6) 第四章安全要求(6) 第五章附则(7) 编写说明 为贯彻“积极预防、及时发现、快速反应、确保恢复”的方针和要求，加强XXX室的安全建设和管理，有效控制风险，特制定本策略。 《信息安全事件管理办法》主要用于加强单位信息安全事件的管理，规范安全事件的响应和操作流程。 第一章总则
第一条策略目标：加强单位信息安全事件的管理，规范信息安全事件的响应和操作流程。 第二条适用范围：本策略适用于单位TCP/IP 网络、以及所承载的业务系统。 第三条使用人员及角色职责：本策略适用于单位安全管理员、各部门安全管理员、各系统管理员。 第四条策略相关性：本策略与《信息安全事件处理流程》同时使用，与安全检查及监控等管理办法相关。 第二章信息安全事件定义 第五条公司信息安全事件是指针对TCP/IP 网络中，由于硬件、软件、数据因非法攻击或病毒入侵等安全原因而遭到破坏、更改、泄漏（可能）造成系统不能正常运行，影响正常的业务发展，称为信息安全事件。 第六条信息安全事件主要可以分为以下几大类： (一)拒绝服务：DoS 是Denial of Service 的简称，即拒绝服务， 造成DoS 的攻击行为被称为DoS 攻击，其目的是使计算 机或网络无法提供正常的服务。 (二)恶意代码：病毒、蠕虫、木马等会给计算机带来不良影响
的代码。 (三)未授权访问：某人在没有得到允许的情况下，获得对网络、 系统、应用、数据以及其它信息资源的访问权限。 (四)不当应用：违反安全策略的行为，包括公司和部门制定的 流程、制度、标准和规范。 (五)上述几种安全事件的结合。 第七条依据安全事件对业务可能造成的影响或已经造成影响的严重程度，并结合资产的重要程度把安全事件分为一般、严重和重大三个级别。 (一)由于非法攻击、病毒入侵等安全原因造成业务系统的主机、 网络、数据库和数据等IT 资产受到损害，由于已经采取 了安全预防措施（例如备份设备等），没有影响业务系统的 正常运行，并能够通过部门安全管理员进行协调处理，在 短期内发现并解决的安全问题，称为一般安全事件。 (二)由于非法攻击、病毒入侵或后门等安全原因造成业务系统
信息安全事件管理规范
信息安全管理部 信息安全事件管理规范 V1.0
文档信息： 文档修改历史: 评审人员：
信息安全事件管理规范 年07月 1.0 目的 明确规定“信息安全事件”的范围和处理流程，以便及时地对信息安全事件做出响应，启动适当的事件防护措施来预防和降低事件影响，并能从事件影响中快速恢复； 2．0 适用范围 本制度适用于在信息安全部负责管理的所有信息资产上发生的对业务产生影响的异常事件的处理及后续响应流程。 3．0 相关角色和职责 ●信息安全总监：负责制定《信息安全事件管理规范》，并督促制度的落实和执行； ●信息安全部经理： ?负责《信息安全事件管理规范》中各项流程制度的日常督促执行； ?负责对各类信息安全事件进行第一时间响应，区分信息安全事件的类别及后续 处理流程； ?负责跟踪各类信息安全事件的后续处理，确保公司能从中汲取教训，不再发生 类似问题； ●信息安全事件发起人：在具体工作中发现异常后应及时上报，并协助完成后续处理 工作。 4．0 信息资产 信息安全管理部负责以下信息资产的安全运行： ●机房环境、硬件设备正常运行： ?互联机房； ?北京办公室机房； ?上海办公室机房； ?机房内的所有硬件设备，包括网络设备、服务器和其它设备； ●办公室网络环境正常运行 ?互联机房内网/外网环境； ?北京办公室内网/外网环境； ?上海办公室内网/外网环境； ●机房内系统工作正常； ?服务器操作系统工作正常 ?应用系统工作正常 ●机房内设备中存放的各类业务信息安全 以上信息资产出现异常情况时，均属于信息安全事件处理的范畴。 5．0 信息安全事件分级、分类
对信息安全事件分级、分类是有效开展信息安全事件报告、应急处置、调查处理和评估备案等信息安全应急响应工作的必要条件。 5．1 信息安全事件分级 根据信息安全事件所涉及的信息密级、对业务所造成的影响和相关的资产损失等要素，对信息安全事件分为以下几个级别： 1级：本级信息安全事件对公司业务造成了重大影响，例如机密数据丢失，重大考试项目考中异常等； 2级：本级信息安全事件对公司业务造成了一定影响，例如短时间的设备宕机、大规模的网站异常造成客户投拆等； 3级：本级及息安全事件指己发现的可能对公司业务造成重要影响的潜在风险事件，例如在日常维护工作中发现的各类异常事件等； 1级的信息安全事件又称为重大安全事件。 与“信息安全事件”分级相关联的名词解释： ●常规工作：指影响超出单点范围，可能/己经造成了部门/小组级的工作异常，但未造成 实质性损害的信息事件； 5．2 信息安全事件分类 对信息安全事件分类是有效开展信息安全事件报告、应急处置、调查处理和评估备案等响应工作的重要依据。信息安全事件可分为： ●环境灾害： ?自然/人为灾害：水灾、火灾、地震、恐怖袭击、战争等； ?外围保障设施故障： ◆机房电力故障: 由于供电线路、供电设备出现故障或供电调配的原因而导 致的信息安全事件 ◆外围网络故障：由于外围网络传输信道出现故障而导致业务系统无法对外 正常服务 ◆其它外围保障设施故障：例如拖管机房的服务器、服务器故障等； ●常规事故： ?软硬件自身故障： ◆软件自身故障：由于软件设计存在漏洞或软件系统运行环境发生变化等原 因而导致软件运行不正常的信息安全事件 ◆硬件自身故障：由于硬件设计不合理、硬件自然老化失效等原因引起硬件 设备故障而导致信息系统不能正常运行的信息安全事件 ?无意事故： ◆硬件设备、软件遗失；与业务系统正常运行和使用相关的硬件设备和软件 遗失而导致的信息安全事件 ◆数据遗失：系统中的重要数据遗失 ◆误操作破坏硬件；
证券期货业信息安全事件报告与调查处理办法(最新版)
( 安全管理 ) 单位：_________________________ 姓名：_________________________ 日期：_________________________ 精品文档 / Word文档 / 文字可改 证券期货业信息安全事件报告与调查处理办法(最新版) Safety management is an important part of production management. Safety and production are in the implementation process
证券期货业信息安全事件报告与调查处理 办法(最新版) 第一章总则 第一条为了规范证券期货业信息安全事件的报告和调查处理，减少信息安全事件的发生，根据《证券法》、《证券投资基金法》、《证券公司监督管理条例》、《期货交易管理条例》、《证券期货业信息安全保障管理办法》等法律、行政法规和规章，制定本办法。 第二条证券期货业信息安全事件是指证券期货业信息系统运行异常或者数据损毁、泄露，对投资者合法权益造成损害或者对证券期货市场造成不良影响的事件。 第三条证券期货业信息安全保障责任主体发生信息安全事件后，应当按本办法规定进行报告和调查处理。 前款所称责任主体，包括承担证券期货市场公共职能的机构、
承担证券期货行业信息技术公共基础设施运营的机构等证券期货市场核心机构及其下属机构（以下简称核心机构），证券公司、期货公司、基金管理公司、证券期货服务机构等证券期货经营机构（以下简称经营机构）。 第四条核心机构、经营机构发生信息安全事件后，应当及时、准确、完整报告，不得迟报、漏报、谎报或者瞒报。 第五条信息安全事件调查处理应当坚持实事求是、尊重科学、客观公正、及时稳妥的原则。 第六条发生信息安全事件的核心机构和经营机构应当对事件进行内部调查，追究责任，采取整改措施。 第七条中国证监会及其派出机构依据本办法规定对核心机构、经营机构的信息安全事件进行调查处理。 第八条信息安全事件相关的核心机构、经营机构、软硬件产品或者技术服务供应商应当配合中国证监会及其派出机构和发生事件的机构对事件进行调查和处理。 第二章事件分级
信息安全管理制度附件：信息安全风险评估管理程序
本程序，作为《WX-WI-IT-001 信息安全管理流程A0版》的附件，随制度发行，并同步生效。 信息安全风险评估管理程序 1.0目的 在ISMS 覆盖范围内对信息安全现行状况进行系统风险评估，形成评估报告，描述风险等级，识别和评价供处理风险的可选措施，选择控制目标和控制措施处理风险。 2.0适用范围 在ISMS 覆盖范围内主要信息资产 3.0定义（无） 4.0职责 4.1各部门负责部门内部资产的识别，确定资产价值。 4.2IT部负责风险评估和制订控制措施。 4.3财务中心副部负责信息系统运行的批准。 5.0流程图 同信息安全管理程序的流程 6.0内容 6.1资产的识别 6.1.1各部门每年按照管理者代表的要求负责部门内部资产的识别，确定资产价值。 6.1.2资产分类 根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员 等类。 6.1.3资产（A）赋值 资产赋值就是对资产在机密性、完整性和可用性上的达成程度进行分析，选 择对资产机密性、完整性和可用性最为重要（分值最高）的一个属性的赋值 等级作为资产的最终赋值结果。资产等级划分为五级，分别代表资产重要性
的高低。等级数值越大，资产价值越高。 1）机密性赋值 根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产 2）完整性赋值 根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产 3）可用性赋值 根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
3分以上为重要资产，重要信息资产由IT 部确立清单 6.2威胁识别 6.2.1威胁分类 对重要资产应由ISMS 小组识别其面临的威胁。针对威胁来源，根据其表现形式将威胁分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、黑客攻击技术、物理攻击、泄密、篡改和抵赖等。 6.2.2威胁(T)赋值 评估者应根据经验和（或）有关的统计数据来判断威胁出现的频率。 威胁频率等级划分为五级，分别代表威胁出现的频率的高低。等级数值越大，威胁出现
信息安全管理办法(完整资料).doc
【最新整理，下载后即可编辑】 信息安全管理办法 1.概述 1.1目的 为指导安全等级保护相关工作，做好的信息安全保障工作。1.2范围 为信息安全职能部门进行监督、检查和指导的依据。随着内容的补充和丰富，为等级保护工作的开展提供指导。 1.3术语 1.敏感数据 敏感数据是指一旦泄露可能会对用户或人民银行造成损失的数据，包括但不限于： 1.用户敏感数据，如用户口令、密钥； 2.系统敏感数据，如系统的密钥、关键的系统管理数据； 3.其它需要保密的敏感业务数据； 4.关键性的操作指令； 5.系统主要配置文件； 6.其他需要保密的数据。 2.风险 某种威胁会利用一种资产或若干资产的脆弱性使这些资产损失
或破坏的可能性。 3.安全策略 主要指为信息系统安全管理制定的行动方针、路线、工作方式、指导原则或程序。 4.安全需求 为使设备、信息、应用及设施符合安全策略的要求而需要采取的保护类型及保护等级。 5.完整性 包括数据完整性和系统完整性。数据完整性表征数据所具有的特征，即无论数据形式作何变化，数据的准确性和一致性均保持不变的程度；系统完整性表征系统在防止非授权用户修改或使用资源和防止授权用户不正确地修改或使用资源的情况下，系统能履行其操作目的的品质。 6.可用性 表征数据或系统根据授权实体的请求可被访问与使用程度的安全属性。 7.弱口令 指在计算机使用过程中，设置的过于简单或非常容易被破解的口令或密码。 2.信息安全保障框架
2.1 信息安全保障总体框架 2.2 信息安全管理体系框架
2.3 安全管理内容 3.信息安全管理规范 3.1 物理安全 3.1.1.物理位置的选择 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。
信息安全管理
一、信息安全管理 1、什么是信息安全管理，为什么需要信息安全管理？ 国际标准化组织对信息安全的定义是：“在技术上和管理上维数据处理系统建立的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄露”。当今的信息系统日益复杂，其中必然存在系统设计、实现、内部控制等方面的弱点。如果不采取适当的措施应对系统运行环境中的安全威胁，信息资产就可能会遭受巨大的损失甚至威胁到国家安全。 2、系统列举常用的信息安全技术？ 密码技术、访问控制和鉴权；物理安全技术；网络安全技术；容灾与数据备份。 3、信息安全管理的主要内容有哪些？ 信息安全管理从信息系统的安全需求出发，结合组织的信息系统建设情况，引入适当的技术控制措施和管理体系，形成了综合的信息安全管理架构。 4、什么是信息安全保障体系，它包含哪些内容？ 5、信息安全法规对信息安全管理工作意义如何？ 它能为信息安全提供制度保障。信息安全法律法规的保障作用至少包含以下三方面： 1.为人们从事在信息安全方面从事各种活动提供规范性指导； 2.能够预防信息安全事件的发生； 3.保障信息安全活动参与各方的合法权益，为人们追求合法权益提供了依据和手段。 二、信息安全风险评估 1、什么是信息安全风险评估？它由哪些基本步骤组成？ 信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。风险评估可分为四个阶段，第一阶段为风险评估准备；第二阶段为风险识别，第三阶段为风险评价，第四阶段为风险处理。 2、信息资产可以分为哪几类？请分别举出一两个例子说明。 可以分为数据、软件、硬件、文档、人员、服务。例如：软件有系统软件、应用软件、源程序、数据库等。服务有办公服务、网络服务、信息服务等。 3、威胁源有哪些？其常见表现形式分别是什么？
信息安全事件管理程序(正式版)
信息安全事件管理程序 Through the process agreement to achieve a unified action policy for different people, so as to coordinate action, reduce blindness, and make the work orderly. 编制：___________________ 日期：___________________
信息安全事件管理程序 温馨提示：该文件为本公司员工进行生产和各项管理工作共同的技术依据，通过对具体的工作环节进行规范、约束，以确保生产、管理活动的正常、有序、优质进行。 本文档可根据实际情况进行修改和使用。 1 目的 为建立一个适当的信息安全事件、薄弱点和故障报告、反应与处理机制, 减少信息安全事件和故障所造成的损失, 采取有效的纠正与预防措施, 特制定本程序。 2 范围 本程序适用于XXX业务信息安全事件的管理。 3 职责 3.1 信息安全管理流程负责人 确定信息安全目标和方针； 确定信息安全管理组织架构、角色和职责划分； 负责信息安全小组之间的协调, 内部和外部的沟通； 负责信息安全评审的相关事宜； 3.2 信息安全日常管理员 负责制定组织中的安全策略； 组织安全管理技术责任人进行风险评估；
组织安全管理技术责任人制定信息安全改进建议和控制措施； 编写风险改进计划； 3.3 信息安全管理技术责任人 负责信息安全日常监控； 信息安全风险评估； 确定信息安全控制措施； 响应并处理安全事件。 4 工作程序 4.1 信息安全事件定义与分类 信息安全事件是指信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接影响（后果）的。 造成下列影响（后果）之一的, 均为一般信息安全事件。 a) XXX秘密泄露； b) 导致业务中断两小时以上； c) 造成信息资产损失的火灾； d) 损失在一万元人民币（含）以上的故障/事件。 造成下列影响（后果）之一的, 属于重大信息安全事件。 a) 组织机密泄露；
信息安全风险管理制度
信息安全风险管理办法 北京国都信业科技有限公司 2017年10月
前言 本程序所规定的是北京国都信业科技有限公司企业的信息安全风险管理原则，在具体实施过程中，各部门可结合本部门的实际情况，根据本程序的要求制定相应的文件，以便指导本部门的实施操作。 本制度自实施之日起，立即生效。 本制度由北京国都信业科技有限公司企业信息管理部起草。 本制度由北京国都信业科技有限公司企业信息管理部归口管理。
1目的 为规范北京国都信业科技有限公司企业（以下简称“本公司”）信息安全风险管理体系，建立、健全信息安全管理制度，确定信息安全方针和目标，全面覆盖信息安全风险点，对信息安全风险进行有效管理，并持续改进信息安全体系建设。 2范围 本制度适用于本公司信息管理部信息安全风险管理应用及活动。 3术语和定义 无。 4职责 信息管理部作为本公司信息安全管理的主管部门，负责实施信息安全管理体系必要的程序并维持其有效运行，制定信息安全相关策略、制度、规定，对信息管理活动各环节进行安全监督和检查，信息安全培训、宣传，信息安全事件的响应、处理及报告等工作。 信息安全管理人员负责全行信息安全策略的执行和推动。 5管理规定 5.1信息安全管理内容 信息安全管理内容应覆盖信息管理、信息管理相关的所有风险点，包括用户管理、身份验证、身份管理、用户管理、风险评估、信息资产管理、网络安全、病毒防护、敏感数据交换等内容。 5.2信息管理岗位设置 为保证本公司信息安全管理，设置信息管理部岗位分工及职责时，应全面考虑信息管理工作实际需要及责任划分，制定详细的岗位分工及职责说明，对信息
管理人员权限进行分级管理，信息管理关键岗位有设置AB 角。应配备专职安全管理员，关键区域或部位的安全管理员符合机要人员管理要求，对涉密人员签订了保密协议。 5.3信息安全人员管理 5.3.1人员雇佣安全管理 信息管理人员的雇佣符合如下要求： 信息管理人员的专业知识和业务水平达到本公司要求； 详细审核科技人员工作经历，信息管理人员应无不良记录； 针对正式信息管理人员、临时聘用或合同制信息管理人员及顾问，采取 不同的管理措施。 5.3.2人员入职安全管理 在员工工作职责说明书中除了要说明岗位的一般职责和规范以外，还要加入与此岗位相关的信息安全管理规范，具体内容参看各个安全管理规范中的适用范围部分。人员入职必须签订保密协议，在人员的入职培训内容中应该包括信息安全管理规范的相关内容解释和技术培训。 5.3.3人员安全培训 根据工作岗位对从业者的能力需求、从业者本身的实际能力以及从业者所面临信息安全风险，确定培训内容。考虑不同层次的职责、能力、文化程度以及所面临的风险，信息安全主管部门应该根据培训需求组织培训，制定培训计划，培训计划包括：培训项目、主要内容、主要负责人、培训日程安排、培训方式等，培训前要写好培训方案，并通知相关人员，培训后要进行考核。 5.3.4人员安全考核 人事部门对人员进行的定期考核中应该包括安全管理规范的相关内容。 5.3.5人员离职安全管理 本公司人员离职手续中应该包括如下安全相关的内容：
重大信息安全事件应急处置和报告制度通用版
管理制度编号：YTO-FS-PD418 重大信息安全事件应急处置和报告制 度通用版 In Order T o Standardize The Management Of Daily Behavior, The Activities And T asks Are Controlled By The Determined Terms, So As T o Achieve The Effect Of Safe Production And Reduce Hidden Dangers. 标准/ 权威/ 规范/ 实用 Authoritative And Practical Standards
重大信息安全事件应急处置和报告 制度通用版 使用提示：本管理制度文件可用于工作中为规范日常行为与作业运行过程的管理，通过对确定的条款对活动和任务实施控制,使活动和任务在受控状态，从而达到安全生产和减少隐患的效果。文件下载后可定制修改，请根据实际需要进行调整和使用。 为预防和及时处置信息安全事件，保证网络信息安全，维护社会稳定，特制订网络信息安全事件应急处置预案 一、在公司领导的统一管理下，贯彻执行《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际互联网管理暂行规定》等相关法律法规，坚持积极防御、综合防范的方针，本着以防为主、注重应急工作原则，预防和控制风险，在发生信息安全事故或事件时最大程度地减少损失，保障用户利益，维护社会和公司稳定，尽快使网络和系统恢复正常，做好网络运行和信息安全保障工作。 二、网络部对互联网实施24小时值班责任制，必要时实行远程控制。网络管理人员应定期对互联网的硬件设备进行状态检查。若发现有上本网站人员异常行为应立即冻结该用户的权限，及时记录在案，情节严重时立即上报有关部门。