信息安全--风险评估准则

1、资产价值计算方法：资产价值 =保密性赋值+完整性赋值+可用性赋值 控制措施计算方法：风险值计算方法：风 险 值=（资产等级X威胁性赋值X脆弱性赋值）X （1-控制措施）资产等级、风险等级评定方法：见下要素准则数据资产实体资产自有软件/外购软件/服务/形象保密 性按信息的 访问权限 等级或信 息的存储 、传输及 处理设施/ 人员涉及 信息的访 问权限等 级来评估 资产保密 性的要求 等级访问权限赋值存储、传输及处理信息的 访问权限赋值存储、传输及处理信息的访问权限赋值对公司及外部 都是公开的1对公司及外部都是公开的1对公司及外部都是公开的1对公司内部所 有员工是公开2对公司内部所有员工是公 开的

2、2对公司内部所有员工是公开 的2只限于公司某 个部门或职能 可以访问的信6只限于公司某个部门或职 能可以访问的信息6只限于公司某个部门或职能 可以访问的信息6只限于公司中 层管理人员以 上或部门少数 关键人员可以 访问的信息24只限于公司中层管理人员 以上或部门少数关键人员 可以访问的信息24只限于公司中层管理人员以 上或部门少数关键人员可以 访问的信息24只限于公司咼 层管理人员或 公司少数关键 人员可以访问120只限于公司高层管理人员 或公司少数关键人员可以 访问的信息120只限于公司高层管理人员或 公司少数关键人员可以访问 的信息120要素准则数据资产实体资产自有软件/外购软件/服务/形

3、象完整 性按资产的 准确性或 完整性受 损，而造 成组织的 业务持续 或形象声影响程度赋值影响程度赋值影响程度赋值可以忽略11可以忽略1可以忽略1轻微2轻微2轻微2般6一般6一般6严重24严重24严重24非常严重120非常严重1120非常严重120誉受影响要素准则数据资产实体/服务资产文件/软件资产可用 性按资产使 用或允许 中断的时 间次数来 评估数据存储、传 输及处理设施 在一个工作日 内允许中断的 次数或时间比.赋值每次中断允许时间赋值使用频次要求赋值16次以上或全 部工作时间中9-15次或1/2工作时间中断3-8次或1/4工作时间中断1-2次或1/8工作时间中断不允许13天以上1每年都

4、要使用至少1次121-3天2每个季度都要使用至少1次2612小时一1天6每个月都要使用至少1次6243小时-12小时24每周都要使用至少1次241200-3小时120每天都要使用至少1次120要素标识相对价值范围等级资产重要程度资产等 级很咼3,4,5,6,8,9,10,13,14,185重要资产高26,27,27,28,31,32,364重要资产中等49,50,54,72:3 I一般资产一般122,123,124,127,128,132,145,146,1502一般资产低168,241,242,246,264,3601一般资产要素标识发生的频率等级威胁利 用弱点 导致危 害的可 能性很咼出现

5、的频率很咼（或 1次/周）；或在大多 数情况下几乎不可避 免；或可以证实经常发5高出现的频率较咼（或 1次/月）；或在大多 数情况下很有可能会发 生；或可以证实多次发 生过4一般出现的频率中等（或 1次/半年）；或在某 种情况下可能会发生； 或被证实曾经发生过3低出现的频率较小；或一 般不太可能发生；或没 有被证实发生过2很低威胁几乎不可能发生； 仅可能在非常罕见和例 外的情况卜发生1要素标识严重程度等级脆弱性 被威胁 利用后 的严重 性很咼如果被威胁利用，将对 公司重要资产造成重大 损害5高如果被威胁利用，将对 重要资产造成一般损害4一般如果被威胁利用，将对 一般资产造成重要损害3低如果被威

6、胁利用，将对 一般资产造成一般损害2很低如果被威胁利用，将对 资产造成的损害可以忽 略1要素标识风险值范韦级别可接受准则很高风险1011255风险不可接受，必须立即采 取控制措施降低风险咼风险761004风险级别较咼风险51753风险可以接受，但需要采取 进一步措施降低风险或在威 胁发生时采取处理措施一般风险26502风险可以接受，可以保持目 前的控制措施低风险1251文件资产人员资产存储、传输及处 理信息的访问权赋值岗位接触信息的访问 权限赋值对公司及外部都 是公开的1对公司及外部都是公 开的1对公司内部所有 员工是公开的2对公司内部所有员工 是公开的2只限于公司某个 部门或职能可以 访问的信息6只限于公司某个部门 或职能可以访问的信 息6只限于公司中层 管理人员以上或 部门少数关键人 员可以访问的信 息24只限于公司中层管理 人员以上可以访问的 信息24只限于公司高层 管理人员或公司 少数关键人员可 以访问的信息120只限于公司高层管理 人员或少数关键人员 可以访问的信息120文件资产人员资产文件类别赋值岗位范围赋值可以忽略1实习员工外聘临时:1 1轻微2工般员工2般6技术、管理、财务等 方面的骨干人员6严重24中层管理人员24非常严重120高层管理人员120形象资产人员资产使用频次赋值允许离