保密風(fēng)險(xiǎn)評(píng)估與管理制度

1、保密風(fēng)險(xiǎn)評(píng)估與管理制度保密風(fēng)險(xiǎn)評(píng)估與管理制度第一條第一條本制度規(guī)定了所采用的風(fēng)險(xiǎn)評(píng)估方法。通過識(shí)別信息資產(chǎn)、風(fēng)險(xiǎn)等級(jí)評(píng)估，認(rèn)知公司的風(fēng)險(xiǎn)，在考慮控制成本與風(fēng)險(xiǎn)平衡的前提下選擇合適控制目標(biāo)和控制方式將風(fēng)險(xiǎn)控制在可接受的水平，保持公司業(yè)務(wù)持續(xù)性發(fā)展，以滿足管理方針的要求。第二條第二條本制度適用于第一次完整的風(fēng)險(xiǎn)評(píng)估和定期的再評(píng)估。在辨識(shí)資產(chǎn)時(shí)，本著盡量細(xì)化的原則進(jìn)行，但在評(píng)估時(shí)我司又會(huì)把資產(chǎn)按照系統(tǒng)進(jìn)行規(guī)劃。辨識(shí)與評(píng)估的重點(diǎn)是信息資產(chǎn)，不區(qū)

2、分物理資產(chǎn)、軟件和硬件。第三條第三條技術(shù)部負(fù)責(zé)牽頭成立風(fēng)險(xiǎn)評(píng)估小組。第四條第四條風(fēng)險(xiǎn)評(píng)估小組每半年至少一次，或當(dāng)體系、組織、業(yè)務(wù)、技術(shù)、環(huán)境等影響企業(yè)的重大事項(xiàng)發(fā)生變更、重大事故事件發(fā)生后，負(fù)責(zé)編制風(fēng)險(xiǎn)評(píng)估計(jì)劃，確認(rèn)評(píng)估結(jié)果，形成《風(fēng)險(xiǎn)評(píng)估報(bào)告》。第五條第五條各部門負(fù)責(zé)部門使用或管理的信息資產(chǎn)的識(shí)別和風(fēng)險(xiǎn)評(píng)估，并負(fù)責(zé)部門所涉及的信息資產(chǎn)的具體安全控制工作。第六條第六條各部門負(fù)責(zé)人負(fù)責(zé)部門的信息資產(chǎn)識(shí)別。技術(shù)部經(jīng)理負(fù)責(zé)匯總、校對(duì)全公司的信

3、息資產(chǎn)。第七條第七條技術(shù)部負(fù)責(zé)風(fēng)險(xiǎn)評(píng)估的策劃。第十二條第十二條資產(chǎn)屬性賦值資產(chǎn)賦值是對(duì)資產(chǎn)安全價(jià)值的估價(jià)，而不是以資產(chǎn)的賬面價(jià)格來衡量的。在對(duì)資產(chǎn)進(jìn)行估價(jià)時(shí)，不僅要考慮資產(chǎn)的成本價(jià)格，更重要的是考慮資產(chǎn)對(duì)于組織業(yè)務(wù)的安全重要性，即根據(jù)資產(chǎn)損失所引發(fā)的潛在的商務(wù)影響來決定。為確保資產(chǎn)估價(jià)時(shí)的一致性和準(zhǔn)確性，機(jī)構(gòu)應(yīng)按照上述原則，建立一個(gè)資產(chǎn)價(jià)值尺度（資產(chǎn)評(píng)估標(biāo)準(zhǔn)），以明確如何對(duì)資產(chǎn)進(jìn)行賦值。第十三條第十三條資產(chǎn)估價(jià)的過程也就是對(duì)資產(chǎn)保密性、

4、完整性和可用性影響分析的過程。影響就是由人為或突發(fā)性引起的安全事件對(duì)資產(chǎn)破壞的后果。這一后果可能毀滅某些資產(chǎn)，危及信息系統(tǒng)并使其喪失保密性、完整性和可用性，最終還會(huì)導(dǎo)致財(cái)產(chǎn)損失、市場份額或公司形象的損失。特別重要的是，即使每一次影響引起的損失并不大，但長期積累的眾多意外事件的影響總和則可造成嚴(yán)重?fù)p失。一般情況下，影響主要從以下幾方面來考慮：（1）違反了有關(guān)法律或（和）規(guī)章制度（2）影響了業(yè)務(wù)執(zhí)行（3）造成了信譽(yù)、聲譽(yù)損失（4）侵犯了個(gè)人