信息安全风险自评估

文件名称信息平安风险自评估密级

文件编号版本号

编写部门编写人

审批人发布时间

信息平安风险自评估

网络运行维护事业部

书目

一.概述...........................................................................1

1.1目标...........................................................................1

1.2术语和定义....................................................................1

13风险评估参考依据...............................................................1

二.信息平安自评估原则.............................................................2

2.1标准性原则....................................................................2

2.2可控性原则....................................................................2

2.3评估人员多样原则..............................................................2

2.4最小影响原则..................................................................2

2.5与第三方评估相结合原则........................................................2

三.信息平安自评估实施步骤.........................................................3

3.1确定自评估支配................................................................3

3.2确定自评估小组人员............................................................3

3.3评估信息获得..................................................................3

3.4分析与计算风险................................................................4

3.5生成报告......................................................................4

四.附录...........................................................................4

4.1附录1平安风险分析计算过程....................................................4

4.2附录2XX平台风险现状分析报告..................................................4

4.3附录3XX平台风险评估报告.....................................................5

4.4附录4信息平安不行接受风险处置支配...........................................5

概述

1-1目标

本文件是业务平台部进行信息平安风险日评估的重要指导依据，依照本文件的要求，

业务平台能够基于自身力气，刚好识别信息平安风险、通过对风险的可能性和影响进行评

估，从而最终刚好有效地处置风险，最终起到加强内蒙古电信业务平台信息平安保障实力,

提高整体的网络与信息平安水平，保证业务系统的正常运营，提高服务质量的作用。

1.2术语和定义

信息平安风险：某种特定的威逼利用资产或一组资产的脆弱点，导致这些资产受损或

破坏的潜在可能。

信息资产：通过信息化建设积累起来的信息系统、信息、生产或服务实力、人员实力

和赢得的信誉等。

资产价值：资产是有价值的，资产价值可通过资产的敏感程度、重要程度或关键程度

来表示。

威逼：一个单位的信息资产的平安可能受到的侵害。威逼由多种属性来刻画：威逼的

主体（威逼源）、实力、资源、动机、途径、可能性和后果等。

脆弱性：信息资产及其平安措施在平安方面的不足和弱点。脆弱性也常常被称为漏洞。

1.3风险评估参考依据

电信网和互联网平安风险评估实施指南

1SO/IEC27005:2008信息技术-平安技术-信息平安风险管理;

ISO/IEC13335-3:1998《IT平安管理技术》；

三.信息平安自评估实施步骤

3.1确定自评估支配

各业务平台信息平安责任人依据业务平台特点，制定自评估支配，自评估支配中需明确

自评估的范围、侧重点（技术/管理）、频度，

3.2确定自评估小组人员

确定自评估支配后，信息平安责任人基于业务平台资产、业务特点，组件风险自评估小

组，小组成员尽可能覆盖主要的业务流程和IT流程。

3.3评估信息获得

信息平安责任人组织自评估小组人员对评估过程中的重要要素，如资产、威逼、脆弱

性进行识别，其中：

资产识别包括对主要的信息、硬件、软件、组织、场所、人员等进行信息收集、分类、

统“，形成资产列表，确定重要资产列表。

平安威逼分析主要针对已识别的系统重要资产，从系统合法用户、系统非法用户、系

统组件和物理环境四种威逼来源，分析重要资产面临的威逼，对威逼的严峻性（影响）进

行分级标识。

脆弱性识别主要针对信息系统重要资产面临的威逼来源，从管理和技术层面识别系统

的平安薄弱点。物理层包括机房与设施平安、机房限制、环境与人员平安；网络层主要对

网络拓扑结构、网络隔国与边界限制、主要网络设备平安配置、网络通信与传输平安等进

行分析；系统层评估的对象是针对重要服务器操作系统及部分终端操作系统、数据库服务

器系统；应用层从典型应用系统的信息流淌身，评估信息处理流程中的各类平安机制；管

理层主要针对现有的业务流程、策略文档进行评审，从运行限制、管理制度等方面评估系

统的保障措施。综合上述各个层面的评估结果，对系统各主要资产的脆弱性被威逼利用的

可能性和影响性进行分析，为平安风险评估供应重要依据。

依据对系统资产识别，威逼分析，脆弱性评估的状况及收集的数据，定性和定量地评

估系统平安现状及风险状况，评价现有保障措施的运行效能及对风险的抵抗程度。

3.4分析与计算风险

通过对资产、脆弱性和威逼的赋值，最终形成对业务平台造成的影响与威逼发生（或脆

弱点被利用）发生的可能性，两者将确定最终的风险值，最终计算方法可参考附录1¥安风

险分析计算过程和附录2风险

3.5生成报告

自评估小组通过可能性和影响最终驾驭业务平台的风险值后，应结合业务平台的需求和

处置成本，确定信息平安大行接受风险，并最终向业务平台主管提交下列文档，具体可参考

附录2、3、4：

《XX平台风险现状分析报告》

《XX平台风险评估报告》

《信息平安不行接受风险处置支配》

U!附录

4