基層單位信息系統(tǒng)安全等級(jí)保護(hù)三級(jí)管理制度-安全風(fēng)險(xiǎn)管理規(guī)定

1、版本號(hào)：1。0。xxxx信息系統(tǒng)安全風(fēng)險(xiǎn)管理規(guī)定第一章總則第一條 為了進(jìn)一步規(guī)范我單位信息系統(tǒng)安全風(fēng)險(xiǎn)的管理工作，根據(jù)信息安全等級(jí)保護(hù)管理辦法、信息系統(tǒng)安全管理要求（GBT 202692006）和其他有關(guān)法律法規(guī)的規(guī)定，結(jié)合本單位實(shí)際，特制定本規(guī)定.第二條本規(guī)定適用于我單位信息系統(tǒng)安全管理人員和技術(shù)人員進(jìn)行安全風(fēng)險(xiǎn)的管理工作,包括風(fēng)險(xiǎn)識(shí)別和分析、風(fēng)險(xiǎn)控制、基于風(fēng)險(xiǎn)的決策、風(fēng)險(xiǎn)評(píng)估等管理工作。第三條信息系統(tǒng)安全風(fēng)險(xiǎn)是指人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導(dǎo)致安全事件及其對(duì)組織造成的影響.第四條信息系統(tǒng)安全風(fēng)險(xiǎn)管理工作的目標(biāo)是防止和降低發(fā)生風(fēng)險(xiǎn)的可能性、避免和減少發(fā)生風(fēng)

2、險(xiǎn)所造成的損失和影響；安全風(fēng)險(xiǎn)管理的責(zé)任部門(mén)為我單位信息系統(tǒng)安全管理中心。第二章風(fēng)險(xiǎn)識(shí)別和分析第五條關(guān)鍵崗位人員的內(nèi)容包括四個(gè)方面：資產(chǎn)識(shí)別和分析、威脅識(shí)別和分析、脆弱性識(shí)別和分析、風(fēng)險(xiǎn)分析和自我評(píng)估。第六條對(duì)資產(chǎn)識(shí)別和分析的內(nèi)容是確定信息系統(tǒng)的資產(chǎn)范圍，進(jìn)行統(tǒng)計(jì)和編制資產(chǎn)清單,并進(jìn)行資產(chǎn)分類(lèi)和重要性標(biāo)識(shí)；根據(jù)對(duì)信息系統(tǒng)的硬件、軟件、系統(tǒng)接口、數(shù)據(jù)和信息、人員等方面的分析和識(shí)別,對(duì)信息系統(tǒng)的體系特征進(jìn)行描述，至少應(yīng)闡明信息系統(tǒng)的使命、邊界、功能，以及系統(tǒng)和數(shù)據(jù)的關(guān)鍵性、敏感性等內(nèi)容.第七條對(duì)威脅的識(shí)別和分析包括對(duì)威脅的基本分析、建立威脅列表、對(duì)威脅的詳細(xì)分析。第八條對(duì)脆弱性識(shí)別和分析包括脆弱性

3、工具掃描、脆弱性分析和滲透測(cè)試、制度化脆弱性評(píng)估。第九條風(fēng)險(xiǎn)分析和自我評(píng)估包括經(jīng)驗(yàn)的風(fēng)險(xiǎn)評(píng)估、全面的風(fēng)險(xiǎn)評(píng)估、建立和維護(hù)風(fēng)險(xiǎn)信息庫(kù).第三章風(fēng)險(xiǎn)控制第十條風(fēng)險(xiǎn)控制的內(nèi)容包括三個(gè)方面：基于安全等級(jí)標(biāo)準(zhǔn)選擇控制措施、基于風(fēng)險(xiǎn)評(píng)估選擇控制措施、基于風(fēng)險(xiǎn)評(píng)估形成防護(hù)控制系統(tǒng)。基于安全等級(jí)標(biāo)準(zhǔn)選擇控制措施的內(nèi)容是以安全等級(jí)第三級(jí)的標(biāo)準(zhǔn)對(duì)技術(shù)和管理要求，選擇相應(yīng)的安全技術(shù)、管理措施，決定信息系統(tǒng)安全的控制措施;基于風(fēng)險(xiǎn)評(píng)估選擇控制措施的內(nèi)容是根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，結(jié)合組織機(jī)構(gòu)對(duì)于信息系統(tǒng)安全的需求，決定信息系統(tǒng)安全的控制措施;基于風(fēng)險(xiǎn)評(píng)估形成防護(hù)控制系統(tǒng)的內(nèi)容是根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果,結(jié)合我單位對(duì)于信息系統(tǒng)安全的

4、需求，決定信息系統(tǒng)安全的控制措施；對(duì)相關(guān)的各種控制措施進(jìn)行綜合分析，得出緊迫性、優(yōu)先級(jí)、投資比重等評(píng)價(jià)，形成體系化的防護(hù)控制系統(tǒng)。第四章風(fēng)險(xiǎn)決策第十一條風(fēng)險(xiǎn)決策的內(nèi)容包括二個(gè)方面：安全確認(rèn)、信息系統(tǒng)運(yùn)行的決策.第十二條安全確認(rèn)包括殘余風(fēng)險(xiǎn)接受、殘余風(fēng)險(xiǎn)監(jiān)視、安全風(fēng)險(xiǎn)再評(píng)估。第十三條信息系統(tǒng)運(yùn)行的決策包括信息系統(tǒng)運(yùn)行決定、信息系統(tǒng)受控運(yùn)行。第五章風(fēng)險(xiǎn)評(píng)估第十四條風(fēng)險(xiǎn)評(píng)估的管理內(nèi)容包括四個(gè)方面：評(píng)估機(jī)構(gòu)的選擇、對(duì)評(píng)估機(jī)構(gòu)的保密要求、評(píng)估信息的管理、技術(shù)測(cè)試過(guò)程管理。每年應(yīng)組織一次針對(duì)關(guān)鍵系統(tǒng)資源進(jìn)行的風(fēng)險(xiǎn)分析和評(píng)估.第十五條評(píng)估機(jī)構(gòu)的選擇針對(duì)不同的情況有二種方法:在年度例行的評(píng)估時(shí)在上級(jí)認(rèn)可的范圍內(nèi)選擇、在組織專(zhuān)門(mén)的評(píng)估活動(dòng)中按照規(guī)定選擇。第十六條對(duì)評(píng)估機(jī)構(gòu)的保密要求包括簽署保密協(xié)議、專(zhuān)人監(jiān)督檢查、制定具體辦法。第十七條評(píng)估信息的管理包括規(guī)定交接手續(xù)、替換敏感參數(shù)、不得帶出指定區(qū)域。第十八條技術(shù)測(cè)試過(guò)程管理是對(duì)新投入運(yùn)行的信息系統(tǒng)或經(jīng)過(guò)風(fēng)險(xiǎn)評(píng)估對(duì)安全機(jī)制有較大變動(dòng)的信息系統(tǒng)所進(jìn)行技術(shù)測(cè)試的管理.第六章 附則第十九條 本規(guī)定由單位信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)解釋.第二十條&