信息安全管理制度附件：信息安全风险评估管理程序

信息安全管理制度附件：信息安全风险评估管理程序信息安全风险评估管理程序第一章总则第一条目的和依据为加强公司信息安全管理，保障信息系统的安全性和稳定性，减少信息系统受到损害和被非法使用的风险，制定本程序。本程序的编制依据公司有关规章制度、国家相关法律法规以及国家标准和行业标准。第二条适用范围本程序适用于公司内所有信息管理活动的相关人员，包括但不限于信息管理部门、系统网络管理员、安全管理员等。第三条主要内容本程序的主要内容包括信息安全风险评估的流程和规范。第二章流程第四条风险评估前准备工作（一）确定评估范围：根据评估对象、技术方法、评估内容等情况，确定评估工作的范围。（二）确定评估目标：根据公司信息安全风险管理中需要的目标，明确风险评估要达到的目标。（三）确立安全风险等级分类：按照现行国家和行业标准，对安全风险进行划分类别，对信息系统进行分类管理和风险评估依据。第五条风险评估（一）搜集信息：对评估对象进行调查，采用各种方式收集与本次评估有关的有效信息。（二）风险识别：通过风险识别技术，对所收集到的信息进行风险识别。（三）定量分析：采用定量分析工具，对所识别出的每个风险进行定量分析，得出风险的定量程度。（四）风险评估：通过定量分析结果，结合企业实际情况，对所评估出的风险进行评估，确定风险等级。第六条制定隐患报告、风险报告和评估报告（一）隐患报告：对评估对象中存在的危险隐患进行提出，描述具体情况和影响，要求相关部门对隐患进行修复和消除。（二）风险报告：对评估对象中产生的风险进行汇总，详细描述风险情况、判定标准、安全风险等级分类和影响等，以例报告的形式提交给企业领导进行批准。（三）评估报告：将领导批准的风险报告和隐患报告进行整理，形成评估报告。第三章规范第七条评估对象的选择（一）评估对象应包括企业的所有信息系统、应用软件和数据库等内部资源，以及与企业电子商务相关的外部资源。（二）重点评估对象应包括企业核心业务系统和数据中心，以及涉及企业安全的网络和通信设备等。第八条评估内容（一）对信息系统中的基础设施、重要数据和重要应用软件等关键性的部分进行全面评估。（二）对风险识别、风险分析、风险评估等管理机制的实施情况进行评估。（三）对人员安全、物理安全、网络安全和访问控制等维度进行评估。第九条评估方法（一）系统评估：以企业信息资源总体安全状况为评估目标，按照规定流程进行评估。评估结果应包括安全评估总结、评估结果和建议等。（二）应用评估：从应用的角度出发，重点评估某一个应用的安全状况和风险等级。评估结果应包括对应用的评估结果和建议等。（三）专项评估：在特定情况下启动的安全评估，比如在应急事件后针对应急事件的原因开展的评估、在合规要求下进行的特定评估等。评估结果需包括安全评估结论、评估结果和建议等。第十条评估标准（一）评估标准应当符合现行国家和行业标准要求。（二）根据公司信息安全风险管理的不同等级分类，每个等级对应的评估标准也应做出相应的规定。第十一条评估结果的应用（一）评估结果应作为公司信息安全风险管理的依据，用于企业现有安全体系的改进和补充。（二）评估结果也可以作为企业自身安全管理活动的重要参考依据，用于制定更加合理的安全管理方案。第四章其他第十二条评估周期企业信息安全风险评估应根据企业实际情况进行期间性的评估。信息系统因业务扩展或技术更新等，每次更新后必须重新认可。第十三条评估报告管理对于评估报告，公司应当考虑