導(dǎo)航：安全管理網(wǎng)>> 培訓(xùn)課件>> 其他>>正文

信息安全評估與風(fēng)險管理

		點擊數(shù)：	更新時間： 2021年04月26日
下載地址：點擊這里	文件大小： 3.45 MB 共102頁	文檔格式： PPT	下載點數(shù)： 20 點（VIP免費）

全屏查看

部分內(nèi)容預(yù)覽 [文件共102頁]

本文件共102頁，只能預(yù)覽部分內(nèi)容，查看全部內(nèi)容需要下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：3.45 MB 共102頁文件格式：PPT 下載點數(shù)：20 點（VIP會員免費）

下一篇：搬運作業(yè)中的安全

上一篇：關(guān)于信息安全風(fēng)險管理

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

信息安全風(fēng)險評估與風(fēng)險管理
國家信息中心信息安全服務(wù)與研究中心
范紅
 
備注：1
2021/4/26
2
匯報內(nèi)容
一、前言
二、信息安全風(fēng)險管理概述
三、信息安全風(fēng)險管理各組成部分
四、信息安全風(fēng)險管理的運用
五、結(jié)束語
備注：2
2021/4/26
3
一、前言

備注：3
2021/4/26
4
二、信息安全風(fēng)險管理概述
      
    
1、 信息安全風(fēng)險管理的目的和意義
2、 信息安全風(fēng)險管理的范圍和對象
3、 信息安全風(fēng)險管理的內(nèi)容和過程
4、 信息安全風(fēng)險管理與信息系統(tǒng)生命周　
　　期和信息安全目標(biāo)的關(guān)系
5、 信息安全風(fēng)險管理的角色和責(zé)任　　
備注：4
2021/4/26
5
二、信息安全風(fēng)險管理概述
      
    
1、 信息安全風(fēng)險管理的目的和意義
2、 信息安全風(fēng)險管理的范圍和對象
3、 信息安全風(fēng)險管理的內(nèi)容和過程
4、 信息安全風(fēng)險管理與信息系統(tǒng)生命周　
　　期和信息安全目標(biāo)的關(guān)系
5、 信息安全風(fēng)險管理的角色和責(zé)任　　
備注：5
2021/4/26
6
信息安全風(fēng)險管理的目的和意義
      
    
　　信息安全風(fēng)險管理是信息安全保障工作中的一項基礎(chǔ)性工作 。
　　1、信息安全風(fēng)險管理體現(xiàn)在信息安全保障體系的技術(shù)、組織和管理等方面。 
　　2、信息安全風(fēng)險管理貫穿信息系統(tǒng)生命周期的全部過程。 
　　3、信息安全風(fēng)險管理依據(jù)等級保護(hù)的思想和適度安全的原則，平衡成本與效益，合理部署和利用信息安全的信任體系、監(jiān)控體系和應(yīng)急處理等重要的基礎(chǔ)設(shè)施，確定合適的安全措施，從而確保機(jī)構(gòu)具有完成其使命的信息安全保障能力。
備注：6
2021/4/26
7
二、信息安全風(fēng)險管理概述
      
    
1、 信息安全風(fēng)險管理的目的和意義
2、 信息安全風(fēng)險管理的范圍和對象
3、 信息安全風(fēng)險管理的內(nèi)容和過程
4、 信息安全風(fēng)險管理與信息系統(tǒng)生命周　
　　期和信息安全目標(biāo)的關(guān)系
5、 信息安全風(fēng)險管理的角色和責(zé)任　　
備注：7
2021/4/26
8
信息安全風(fēng)險管理的范圍和對象
備注：8
2021/4/26
9
二、信息安全風(fēng)險管理概述
      
    
1、 信息安全風(fēng)險管理的目的和意義
2、 信息安全風(fēng)險管理的范圍和對象
3、 信息安全風(fēng)險管理的內(nèi)容和過程
4、 信息安全風(fēng)險管理與信息系統(tǒng)生命周　
　　期和信息安全目標(biāo)的關(guān)系
5、 信息安全風(fēng)險管理的角色和責(zé)任　　
備注：9
2021/4/26
10
信息安全風(fēng)險管理的內(nèi)容和過程 
備注：10
2021/4/26
11
二、信息安全風(fēng)險管理概述
      
    
1、 信息安全風(fēng)險管理的目的和意義
2、 信息安全風(fēng)險管理的范圍和對象
3、 信息安全風(fēng)險管理的內(nèi)容和過程
4、 信息安全風(fēng)險管理與信息系統(tǒng)生命周　
　　期和信息安全目標(biāo)的關(guān)系
5、 信息安全風(fēng)險管理的角色和責(zé)任　　
備注：11
2021/4/26
12
三維結(jié)構(gòu)關(guān)系
備注：12
2021/4/26
13
二、信息安全風(fēng)險管理概述
      
    
1、 信息安全風(fēng)險管理的目的和意義
2、 信息安全風(fēng)險管理的范圍和對象
3、 信息安全風(fēng)險管理的內(nèi)容和過程
4、 信息安全風(fēng)險管理與信息系統(tǒng)生命周　
　　期和信息安全目標(biāo)的關(guān)系
5、 信息安全風(fēng)險管理的角色和責(zé)任　　
備注：13
2021/4/26
14
信息安全風(fēng)險管理相關(guān)人員的角色和責(zé)任 
層面	信息系統(tǒng)	信息系統(tǒng)	信息系統(tǒng)	信息安全風(fēng)險管理	信息安全風(fēng)險管理	信息安全風(fēng)險管理
層面	角色	內(nèi)外部	責(zé)任	角色	內(nèi)外部	責(zé)任
決策層	主管者	內(nèi)	負(fù)責(zé)信息系統(tǒng)的重大決策。	主管者	內(nèi)	負(fù)責(zé)信息安全風(fēng)險管理的重大決策。
管理層	管理者	內(nèi)	負(fù)責(zé)信息系統(tǒng)的規(guī)劃，以及建設(shè)、運行、維護(hù)和監(jiān)控等方面的組織和協(xié)調(diào)。	管理者	內(nèi)	負(fù)責(zé)信息安全風(fēng)險管理的規(guī)劃，以及實施和監(jiān)控過程中的組織和協(xié)調(diào)。
執(zhí)行層	建設(shè)者	內(nèi)或外	負(fù)責(zé)信息系統(tǒng)的設(shè)計和實施。	執(zhí)行者	內(nèi)或外	負(fù)責(zé)信息安全風(fēng)險管理的實施。
執(zhí)行層	運行者	內(nèi)	負(fù)責(zé)信息系統(tǒng)的日常運行和操作。	執(zhí)行者	內(nèi)或外	負(fù)責(zé)信息安全風(fēng)險管理的實施。
執(zhí)行層	維護(hù)者	內(nèi)或外	負(fù)責(zé)信息系統(tǒng)的日常維護(hù)，包括維修和升級。	執(zhí)行者	內(nèi)或外	負(fù)責(zé)信息安全風(fēng)險管理的實施。
執(zhí)行層	監(jiān)控者	內(nèi)	負(fù)責(zé)信息系統(tǒng)的監(jiān)視和控制。	監(jiān)控者	內(nèi)	負(fù)責(zé)信息安全風(fēng)險管理過程和結(jié)果的監(jiān)視和控制。
支持層	專業(yè)者	外	為信息系統(tǒng)提供專業(yè)咨詢、培訓(xùn)、診斷和工具等服務(wù)。	專業(yè)者	外	為信息安全風(fēng)險管理提供專業(yè)咨詢、培訓(xùn)、診斷和工具等服務(wù)。
用戶層	使用者	內(nèi)或外	利用信息系統(tǒng)完成自身的任務(wù)。	受益者	內(nèi)或外	反饋信息安全風(fēng)險管理的效果。
備注：14
2021/4/26
15
三、信息安全風(fēng)險管理各組成部分

1、對象確立
2、風(fēng)險評估
3、風(fēng)險控制
4、審核批準(zhǔn)
5、溝通與咨詢
6、監(jiān)控與審查

備注：15
2021/4/26
16
三、信息安全風(fēng)險管理各組成部分

1、對象確立
2、風(fēng)險評估
3、風(fēng)險控制
4、審核批準(zhǔn)
5、溝通與咨詢
6、監(jiān)控與審查

備注：16
2021/4/26
17
對象確立概述
　　　對象確立是信息安全風(fēng)險管理的第一步驟，根據(jù)要保護(hù)系統(tǒng)的業(yè)務(wù)目標(biāo)和特性，確定風(fēng)險管理對象。其目的是為了明確信息安全風(fēng)險管理的范圍和對象，以及對象的特性和安全要求。
備注：17
2021/4/26
18
對象確立過程
備注：18
2021/4/26
19
風(fēng)險管理準(zhǔn)備
　　
備注：19
2021/4/26
20
信息系統(tǒng)調(diào)查 
備注：20
2021/4/26
21
信息系統(tǒng)分析
備注：21
2021/4/26
22
信息安全分析
備注：22
2021/4/26
23
對象確立的文檔
階段	輸出文檔	文檔內(nèi)容
風(fēng)險管理準(zhǔn)備	《風(fēng)險管理計劃書》	風(fēng)險管理的目的、意義、范圍、目標(biāo)、組織結(jié)構(gòu)、經(jīng)費預(yù)算和進(jìn)度安排等。
信息系統(tǒng)調(diào)查	《信息系統(tǒng)的描述報告》	信息系統(tǒng)的業(yè)務(wù)目標(biāo)、業(yè)務(wù)特性、管理特性和技術(shù)特性等。
信息系統(tǒng)分析	《信息系統(tǒng)的分析報告》	信息系統(tǒng)的體系結(jié)構(gòu)和關(guān)鍵要素等。
信息安全分析	《信息系統(tǒng)的安全要求報告》	信息系統(tǒng)的安全環(huán)境和安全要求等。
備注：23
2021/4/26
24
三、信息安全風(fēng)險管理各組成部分

1、對象確立
2、風(fēng)險評估
3、風(fēng)險控制
4、審核批準(zhǔn)
5、溝通與咨詢
6、監(jiān)控與審查

備注：24
2021/4/26
25
風(fēng)險評估概述 
　　　風(fēng)險評估是信息安全風(fēng)險管理的第二步，針對確立的風(fēng)險管理對象所面臨的風(fēng)險進(jìn)行識別、分析和評價。
備注：25
2021/4/26
26
風(fēng)險評估過程
備注：26
2021/4/26
27
風(fēng)險評估準(zhǔn)備
備注：27
2021/4/26
28
風(fēng)險因素識別
備注：28
2021/4/26
29
風(fēng)險程度分析
備注：29
2021/4/26
30
風(fēng)險等級評價
備注：30
2021/4/26
31
風(fēng)險評估的文檔
階段	輸出文檔	文檔內(nèi)容
風(fēng)險評估準(zhǔn)備	《風(fēng)險評估計劃書》	風(fēng)險評估的目的、意義、范圍、目標(biāo)、組織結(jié)構(gòu)、經(jīng)費預(yù)算和進(jìn)度安排等。
風(fēng)險評估準(zhǔn)備	《風(fēng)險評估程序》	風(fēng)險評估的工作流程、輸入數(shù)據(jù)和輸出結(jié)果等。
風(fēng)險評估準(zhǔn)備	《入選風(fēng)險評估方法和工具列表》	合適的風(fēng)險評估方法和工具列表。
風(fēng)險因素識別	《需要保護(hù)的資產(chǎn)清單》	對機(jī)構(gòu)使命具有關(guān)鍵和重要作用的需要保護(hù)的資產(chǎn)清單。
風(fēng)險因素識別	《面臨的威脅列表》	機(jī)構(gòu)的信息資產(chǎn)面臨的威脅列表。
風(fēng)險因素識別	《存在的脆弱性列表》	機(jī)構(gòu)的信息資產(chǎn)存在的脆弱性列表。
備注：31
2021/4/26
32
風(fēng)險評估的文檔
風(fēng)險程度分析	《已有安全措施分析報告》	確認(rèn)已有的安全措施，包括技術(shù)層面（即物理平臺、系統(tǒng)平臺、通信平臺、網(wǎng)絡(luò)平臺和應(yīng)用平臺）的安全功能、組織層面（即結(jié)構(gòu)、崗位和人員）的安全控制和管理層面（即策略、規(guī)章和制度）的安全對策。
風(fēng)險程度分析	《威脅源分析報告》	從利益、復(fù)仇、好奇和自負(fù)等驅(qū)使因素，分析威脅源動機(jī)的強(qiáng)弱。
風(fēng)險程度分析	《威脅行為分析報告》	從攻擊的強(qiáng)度、廣度、速度和深度等方面，分析威脅行為能力的高低。
風(fēng)險程度分析	《脆弱性分析報告》	按威脅/脆弱性對，分析脆弱性被威脅利用的難以程度。
風(fēng)險程度分析	《資產(chǎn)價值分析報告》	從敏感性、關(guān)鍵性和昂貴性等方面，分析資產(chǎn)價值的大小。
風(fēng)險程度分析	《影響程度分析報告》	從資產(chǎn)損失、使命妨礙和人員傷亡等方面，分析影響程度的深淺。
備注：32
2021/4/26
33
風(fēng)險評估的文檔
風(fēng)險等級評價	《威脅源等級列表》	威脅源動機(jī)的等級列表。
風(fēng)險等級評價	《威脅行為等級列表》	威脅行為能力的等級列表。
風(fēng)險等級評價	《脆弱性等級列表》	脆弱性被利用的等級列表。
風(fēng)險等級評價	《資產(chǎn)價值等級列表》	資產(chǎn)價值的等級列表。
風(fēng)險等級評價	《影響程度等級列表》	影響程度的等級列表。
風(fēng)險等級評價	《風(fēng)險評估報告》	匯總上述分析報告和等級列表，綜合評價風(fēng)險的等級。
備注：33
2021/4/26
34
三、信息安全風(fēng)險管理各組成部分

1、對象確立
2、風(fēng)險評估
3、風(fēng)險控制
4、審核批準(zhǔn)
5、溝通與咨詢
6、監(jiān)控與審查

備注：34
2021/4/26
35
風(fēng)險控制概述

風(fēng)險控制是信息安全風(fēng)險管理的第三步驟，依據(jù)風(fēng)險評估的結(jié)果，選擇和實施合適的安全措施。風(fēng)險控制方式主要有規(guī)避、轉(zhuǎn)移和降低三種方式。
備注：35
2021/4/26
36
風(fēng)險控制需求及其相應(yīng)的風(fēng)險控制措施
PPDRR	風(fēng)險控制需求	風(fēng)險控制措施
策略
Policy	設(shè)備管理制度	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護(hù)、檢測和響應(yīng)環(huán)節(jié)有章可循、切實有效。
策略
Policy	機(jī)房出入守則	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護(hù)、檢測和響應(yīng)環(huán)節(jié)有章可循、切實有效。
策略
Policy	系統(tǒng)安全管理守則	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護(hù)、檢測和響應(yīng)環(huán)節(jié)有章可循、切實有效。
策略
Policy	系統(tǒng)安全配置明細(xì)	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護(hù)、檢測和響應(yīng)環(huán)節(jié)有章可循、切實有效。
策略
Policy	網(wǎng)絡(luò)安全管理守則	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護(hù)、檢測和響應(yīng)環(huán)節(jié)有章可循、切實有效。
策略
Policy	網(wǎng)絡(luò)安全配置明細(xì)	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護(hù)、檢測和響應(yīng)環(huán)節(jié)有章可循、切實有效。
策略
Policy	應(yīng)用安全管理守則	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護(hù)、檢測和響應(yīng)環(huán)節(jié)有章可循、切實有效。
策略
Policy	應(yīng)用安全配置明細(xì)	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護(hù)、檢測和響應(yīng)環(huán)節(jié)有章可循、切實有效。
策略
Policy	應(yīng)急響應(yīng)計劃	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護(hù)、檢測和響應(yīng)環(huán)節(jié)有章可循、切實有效。
策略
Policy	安全事件處理準(zhǔn)則	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護(hù)、檢測和響應(yīng)環(huán)節(jié)有章可循、切實有效。
備注：36
2021/4/26
37
主要的風(fēng)險控制需求及其相應(yīng)的風(fēng)險控制措施
保護(hù)
Protection	機(jī)房	嚴(yán)格按照GB 50174-1993《電子計算機(jī)機(jī)房設(shè)計規(guī)范》、GB 9361-1988《計算站場地安全要求》、GB 2887-1982《計算機(jī)站場地技術(shù)要求》和GB/T 2887-2000《計算機(jī)場地通用規(guī)范》等國家標(biāo)準(zhǔn)建設(shè)和維護(hù)計算機(jī)機(jī)房。
保護(hù)
Protection	門控	安裝門控系統(tǒng)
保護(hù)
Protection	保安	建設(shè)保安制度和保安隊伍。
保護(hù)
Protection	電磁屏蔽	在必要的地方設(shè)置抗電磁干擾和防電磁泄漏的設(shè)施。
保護(hù)
Protection	病毒防殺	全面部署防病毒系統(tǒng)。
保護(hù)
Protection	漏洞補(bǔ)丁	及時下載和安裝最新的漏洞補(bǔ)丁模塊。
保護(hù)
Protection	安全配置	嚴(yán)格遵守各系統(tǒng)單元的安全配置明細(xì)，避免配置中的安全漏洞。
保護(hù)
Protection	身份認(rèn)證	根據(jù)不同的安全強(qiáng)度，分別采用身份標(biāo)識/口令、數(shù)字鑰匙、數(shù)字證書、生物識別、雙因子等級別的身份認(rèn)證系統(tǒng)，對設(shè)備、用戶、服務(wù)等主客體進(jìn)行身份認(rèn)證。
保護(hù)
Protection	訪問控制	根據(jù)不同的安全強(qiáng)度，分別采用自主型、強(qiáng)制型等級別的訪問控制系統(tǒng)，對設(shè)備、用戶等主體訪問客體的權(quán)限進(jìn)行控制。
保護(hù)
Protection	數(shù)據(jù)加密	根據(jù)不同的安全強(qiáng)度，分別采用商密、普密、機(jī)密等級別的數(shù)據(jù)加密系統(tǒng)，對傳輸數(shù)據(jù)和存儲數(shù)據(jù)進(jìn)行加密。
保護(hù)
Protection	邊界控制	在網(wǎng)絡(luò)邊界布置防火墻，阻止來自外界非法訪問。
保護(hù)
Protection	數(shù)字水印	對于需要版權(quán)保護(hù)的圖片、聲音、文字等形式的信息，采用數(shù)字水印技術(shù)加以保護(hù)。
保護(hù)
Protection	數(shù)字簽名	在需要防止事后否認(rèn)時，可采用數(shù)字簽名技術(shù)。
保護(hù)
Protection	內(nèi)容凈化	部署內(nèi)容過濾系統(tǒng)。
保護(hù)
Protection	安全機(jī)構(gòu)、安全崗位、安全責(zé)任	建立健全安全機(jī)構(gòu)，合理設(shè)置安全崗位，明確劃分安全責(zé)任。
備注：37
2021/4/26
38
主要的風(fēng)險控制需求及其相應(yīng)的風(fēng)險控制措施
檢測
Detection	監(jiān)視、監(jiān)測和報警	在適當(dāng)?shù)奈恢冒仓帽O(jiān)視器和報警器，在各系統(tǒng)單元中配備監(jiān)測系統(tǒng)和報警系統(tǒng)，以實時發(fā)現(xiàn)安全事件并及時報警。
檢測
Detection	數(shù)據(jù)校驗	通過數(shù)據(jù)校驗技術(shù)，發(fā)現(xiàn)數(shù)據(jù)篡改。
檢測
Detection	主機(jī)入侵檢測	部署主機(jī)入侵檢測系統(tǒng)，發(fā)現(xiàn)主機(jī)入侵行為。
檢測
Detection	主機(jī)狀態(tài)監(jiān)測	部署主機(jī)狀態(tài)監(jiān)測系統(tǒng)，隨時掌握主機(jī)運行狀態(tài)。
檢測
Detection	網(wǎng)絡(luò)入侵檢測	部署網(wǎng)絡(luò)入侵檢測系統(tǒng)，發(fā)現(xiàn)網(wǎng)絡(luò)入侵行為。
檢測
Detection	網(wǎng)絡(luò)狀態(tài)監(jiān)測	部署網(wǎng)絡(luò)狀態(tài)監(jiān)測系統(tǒng)，隨時掌握網(wǎng)絡(luò)運行狀態(tài)。
檢測
Detection	安全審計	在各系統(tǒng)單元中配備安全審計，以發(fā)現(xiàn)深層安全漏洞和安全事件。
檢測
Detection	安全監(jiān)督、安全檢查	實行持續(xù)有效的安全監(jiān)督，預(yù)演應(yīng)急響應(yīng)計劃。
備注：38
2021/4/26
39
主要的風(fēng)險控制需求及其相應(yīng)的風(fēng)險控制措施
響應(yīng)
Response
恢復(fù)
Recovery	故障修復(fù)、事故排除	確保隨時能夠獲取故障修復(fù)和事故排除的技術(shù)人員和軟硬件工具。
響應(yīng)
Response
恢復(fù)
Recovery	設(shè)施備份與恢復(fù)	對于關(guān)鍵設(shè)施，配備設(shè)施備份與恢復(fù)系統(tǒng)。
響應(yīng)
Response
恢復(fù)
Recovery	系統(tǒng)備份與恢復(fù)	對于關(guān)鍵系統(tǒng)，配備系統(tǒng)備份與恢復(fù)系統(tǒng)。
響應(yīng)
Response
恢復(fù)
Recovery	數(shù)據(jù)備份與恢復(fù)	對于關(guān)鍵數(shù)據(jù)，配備數(shù)據(jù)備份與恢復(fù)系統(tǒng)。
響應(yīng)
Response
恢復(fù)
Recovery	信道備份與恢復(fù)	對于關(guān)鍵信道，配備設(shè)信道份與恢復(fù)系統(tǒng)。
響應(yīng)
Response
恢復(fù)
Recovery	應(yīng)用備份與恢復(fù)	對于關(guān)鍵應(yīng)用，配備應(yīng)用備份與恢復(fù)系統(tǒng)。
響應(yīng)
Response
恢復(fù)
Recovery	應(yīng)急響應(yīng)	按照應(yīng)急響應(yīng)計劃處理應(yīng)急事件。
響應(yīng)
Response
恢復(fù)
Recovery	安全事件處理	按照安全事件處理找出原因、追究責(zé)任、總結(jié)經(jīng)驗、提出改進(jìn)。
備注：39
2021/4/26
40
風(fēng)險控制過程
備注：40
2021/4/26
41
現(xiàn)存風(fēng)險判斷
備注：41
2021/4/26
42
控制目標(biāo)確立
備注：42
2021/4/26
43
控制措施選擇
備注：43
2021/4/26
44
控制措施實施
備注：44
2021/4/26
45
風(fēng)險控制的文檔
階段	輸出文檔	文檔內(nèi)容
現(xiàn)存風(fēng)險判斷	《風(fēng)險接受等級劃分表》	風(fēng)險接受等級的劃分，即把風(fēng)險評估得出的風(fēng)險等級劃分為可接受和不可接受兩種。
現(xiàn)存風(fēng)險判斷	《現(xiàn)存風(fēng)險接受判斷書》	現(xiàn)存風(fēng)險是否可接受的判斷結(jié)果。
控制目標(biāo)確立	《風(fēng)險控制需求分析報告》	從技術(shù)層面（即物理平臺、系統(tǒng)平臺、通信平臺、網(wǎng)絡(luò)平臺和應(yīng)用平臺）、組織層面（即結(jié)構(gòu)、崗位和人員）和管理層面（即策略、規(guī)章和制度），分析風(fēng)險控制的需求。
控制目標(biāo)確立	《風(fēng)險控制目標(biāo)列表》	風(fēng)險控制目標(biāo)的列表，包括控制對象及其最低保護(hù)等級。
備注：45
2021/4/26
46
風(fēng)險控制的文檔
控制措施選擇	《入選風(fēng)險控制方式說明報告》	選擇合適的風(fēng)險控制方式（包括規(guī)避方式、轉(zhuǎn)移方式和降低方式），并說明選擇的理由以及被選控制方式的使用方法和注意事項等。
控制措施選擇	《入選風(fēng)險控制措施說明報告》	選擇合適的風(fēng)險控制措施，并說明選擇的理由以及被選控制措施的成本、使用方法和注意事項等。
控制措施實施	《風(fēng)險控制實施計劃書》	風(fēng)險控制的范圍、對象、目標(biāo)、組織結(jié)構(gòu)、成本預(yù)算和進(jìn)度安排等。
控制措施實施	《風(fēng)險控制實施記錄》	風(fēng)險控制措施實施的過程和結(jié)果。
備注：46
2021/4/26
47
三、信息安全風(fēng)險管理各組成部分

1、對象確立
2、風(fēng)險評估
3、風(fēng)險控制
4、審核批準(zhǔn)
5、溝通與咨詢
6、監(jiān)控與審查

備注：47
2021/4/26
48
審核批準(zhǔn)概述

審核批準(zhǔn)是信息安全風(fēng)險管理的第四步驟，審核批準(zhǔn)包括審核和批準(zhǔn)兩部分：審核是指通過審查、測試、評審等手段，檢驗風(fēng)險評估和風(fēng)險控制的結(jié)果是否滿足信息系統(tǒng)的安全要求；批準(zhǔn)是指機(jī)構(gòu)的決策層依據(jù)審核的結(jié)果，做出是否認(rèn)可的決定。
　　審核既可以由機(jī)構(gòu)內(nèi)部完成，也可以委托外部專業(yè)機(jī)構(gòu)來完成，這主要取決于信息系統(tǒng)的性質(zhì)和機(jī)構(gòu)自身的專業(yè)能力。批準(zhǔn)一般必須由機(jī)構(gòu)內(nèi)部或更高層的主管機(jī)構(gòu)的決策層來執(zhí)行。
備注：48
2021/4/26
49
審核批準(zhǔn)過程及其在信息安全風(fēng)險管理中的位置 
備注：49
2021/4/26
50
審核申請
備注：50
2021/4/26
51
審核處理
備注：51
2021/4/26
52
批準(zhǔn)申請
備注：52
2021/4/26
53
批準(zhǔn)處理
備注：53
2021/4/26
54
持續(xù)監(jiān)督
備注：54
2021/4/26
55
審核批準(zhǔn)的文檔
階段	輸出文檔	文檔內(nèi)容
審核申請	《審核申請書》	審核的范圍、對象、目標(biāo)和進(jìn)度要求，以及申請者的基本信息和簽字等。
審核申請	《審核材料》	風(fēng)險評估過程和風(fēng)險控制過程輸出的文檔、軟件和硬件等結(jié)果。
審核申請	《審核受理回執(zhí)》	同意受理、補(bǔ)充材料的要求和提交時間（如果需要）、審核的進(jìn)度安排和收費標(biāo)準(zhǔn)，以及審核機(jī)構(gòu)的名稱和簽章等。
審核處理	《審查結(jié)果報告》	審查的范圍、對象、意見和結(jié)論（即是否通過），以及審查人員的名字和簽字等。
審核處理	《測試結(jié)果報告》	測試的范圍、對象、意見和結(jié)論（即是否通過），以及測試人員的名字和簽字等。
審核處理	《專家鑒定報告》	鑒定的范圍、對象（及其基本情況）和結(jié)論，以及專家名單和簽字等。
審核處理	《審核結(jié)論報告》	審核的范圍、對象、意見、結(jié)論（即是否通過）和有效期，以及審核機(jī)構(gòu)的名稱和簽章等。
備注：55
2021/4/26
56
審核批準(zhǔn)的文檔
批準(zhǔn)申請	《批準(zhǔn)申請書》	批準(zhǔn)的范圍、對象和期望，以及申請者的基本信息和簽字等。
批準(zhǔn)申請	《批準(zhǔn)受理回執(zhí)》	同意受理、補(bǔ)充材料的要求和提交時間（如果需要），以及批準(zhǔn)機(jī)構(gòu)的名稱和簽章等。
批準(zhǔn)處理	《批準(zhǔn)決定書》	批準(zhǔn)的范圍、對象、意見、結(jié)論（即是否通過）和有效期，以及批準(zhǔn)機(jī)構(gòu)的名稱和簽章等。
持續(xù)監(jiān)督	《審核到期通知書》	到期的時間和重新申請的要求，以及審核機(jī)構(gòu)的名稱和簽章。
持續(xù)監(jiān)督	《批準(zhǔn)到期通知書》	到期的時間和重新申請的要求，以及批準(zhǔn)機(jī)構(gòu)的名稱和簽章。
持續(xù)監(jiān)督	《機(jī)構(gòu)變化因素的描述報告》	機(jī)構(gòu)及其信息系統(tǒng)變化因素的列表、說明和安全隱患分析等。
持續(xù)監(jiān)督	《環(huán)境變化因素的描述報告》	信息安全相關(guān)環(huán)境變化因素的列表、說明和安全隱患分析等。
備注：56
2021/4/26
57
三、信息安全風(fēng)險管理各組成部分

1、對象確立
2、風(fēng)險評估
3、風(fēng)險控制
4、審核批準(zhǔn)
5、監(jiān)控與審查
6、溝通與咨詢

備注：57
2021/4/26
58
監(jiān)控與審查的概述

監(jiān)控與審查對信息安全風(fēng)險管理主循環(huán)的四個步驟（即對象確立、風(fēng)險評估、風(fēng)險控制和審核批準(zhǔn)）進(jìn)行監(jiān)控和審查。監(jiān)控是監(jiān)視和控制，一是監(jiān)視和控制風(fēng)險管理過程，即過程質(zhì)量管理，以保證過程的有效性；二是分析和平衡成本效益，即成本效益管理，以保證成本的有效性。審查是跟蹤受保護(hù)系統(tǒng)自身或所處環(huán)境的變化，以保證結(jié)果的有效性。
備注：58
2021/4/26
59
監(jiān)控與審查過程 
備注：59
2021/4/26
60
貫穿對象確立
階段	監(jiān)控	監(jiān)控	審查
階段	過程有效性	成本有效性 	結(jié)果有效性
風(fēng)險管理準(zhǔn)備	風(fēng)險管理計劃制定的流程及其相關(guān)文檔	風(fēng)險管理計劃的成本與效果	《風(fēng)險管理計劃書》的時效
信息系統(tǒng)調(diào)查	信息系統(tǒng)調(diào)查的流程及其相關(guān)文檔	信息系統(tǒng)調(diào)查的成本與效果	《信息系統(tǒng)的描述報告》的時效
信息系統(tǒng)分析	信息系統(tǒng)分析的流程及其相關(guān)文檔	信息系統(tǒng)分析的成本與效果	《信息系統(tǒng)的分析報告》的時效
信息安全分析	信息系統(tǒng)安全要求分析的流程及其相關(guān)文檔	信息系統(tǒng)安全要求分析的成本與效果	《信息系統(tǒng)的安全要求報告》的時效
備注：60
2021/4/26
61
貫穿風(fēng)險評估
階段	監(jiān)控	監(jiān)控	審查
階段	過程有效性	成本有效性 	結(jié)果有效性
風(fēng)險評估準(zhǔn)備	風(fēng)險評估的計劃制定、程序確定以及方法和工具選擇的流程及其相關(guān)文檔	風(fēng)險評估的計劃、程序以及入選方法和工具的成本與效果	《風(fēng)險評估計劃》、《風(fēng)險評估程序》和《入選風(fēng)險評估方法和工具列表》的時效
風(fēng)險因素識別	資產(chǎn)、威脅列和脆弱性識別的流程及其相關(guān)文檔	資產(chǎn)、威脅列和脆弱性識別的成本與效果	《需要保護(hù)的資產(chǎn)清單》、《面臨的威脅列表》和《存在的脆弱性列表》的時效
備注：61
2021/4/26
62
貫穿風(fēng)險評估
風(fēng)險程度分析	已有安全措施、威脅源、威脅行為、脆弱性、資產(chǎn)價值和影響程度分析的流程及其相關(guān)文檔	已有安全措施、威脅源、威脅行為、脆弱性、資產(chǎn)價值和影響程度分析的成本與效果	《已有安全措施分析報告》、《威脅源分析報告》、《威脅行為分析報告》、《脆弱性分析報告》、《資產(chǎn)價值分析報告》和《影響程度分析報告》的時效
風(fēng)險等級評價	威脅源等級、威脅行為等級、脆弱性等級、資產(chǎn)價值等級和影響程度等級評價以及《風(fēng)險評估報告》生成的流程及其相關(guān)文檔	威脅源等級、威脅行為等級、脆弱性等級、資產(chǎn)價值等級和影響程度等級評價以及《風(fēng)險評估報告》生成的成本與效果	《威脅源等級列表》、《威脅行為等級列表》、《脆弱性等級列表》、《資產(chǎn)價值等級列表》、《影響程度等級列表》和《風(fēng)險評估報告》的時效
備注：62
2021/4/26
63
貫穿風(fēng)險控制
階段	監(jiān)控	監(jiān)控	審查
階段	過程有效性	成本有效性 	結(jié)果有效性
現(xiàn)存風(fēng)險判斷	可接受風(fēng)險等級確定和現(xiàn)存風(fēng)險接受判斷的流程及其相關(guān)文檔	可接受風(fēng)險等級確定和現(xiàn)存風(fēng)險接受判斷的成本與效果	《風(fēng)險接受等級劃分表》和《現(xiàn)存風(fēng)險接受判斷書》的時效
控制目標(biāo)確立	風(fēng)險控制需求分析和風(fēng)險控制目標(biāo)確立的流程及其相關(guān)文檔	風(fēng)險控制需求分析和風(fēng)險控制目標(biāo)確立的成本與效果	《風(fēng)險控制需求分析報告》和《風(fēng)險控制目標(biāo)列表》的時效
備注：63
2021/4/26
64
貫穿風(fēng)險控制
控制措施選擇	風(fēng)險控制方式和措施選擇的流程及其相關(guān)文檔	入選風(fēng)險控制方式和措施的成本與效果	《入選風(fēng)險控制方式說明報告》和《入選風(fēng)險控制措施說明報告》的時效
控制措施實施	風(fēng)險控制實施計劃制定和風(fēng)險控制措施實施的流程及其相關(guān)文檔	風(fēng)險控制實施計劃制定和風(fēng)險控制措施實施的成本與效果	《風(fēng)險控制實施計劃書》和《風(fēng)險控制實施記錄》的時效
備注：64
2021/4/26
65
貫穿審核批準(zhǔn)
階段	監(jiān)控	監(jiān)控	審查
階段	過程有效性	成本有效性 	結(jié)果有效性
審核申請	審核申請和受理的流程及其相關(guān)文檔	審核申請和受理的成本與效果	《審核申請書》、《審核材料》和《審核受理回執(zhí)》的時效
審核處理	審核材料審查、審核對象測試、專家鑒定和審核結(jié)論給出的流程及其相關(guān)文檔	審核材料審查、審核對象測試、專家鑒定和審核結(jié)論給出的成本與效果	《審查結(jié)果報告》、《測試結(jié)果報告》、《專家鑒定報告》和《審核結(jié)論報告》的時效
備注：65
2021/4/26
66
貫穿審核批準(zhǔn)
批準(zhǔn)申請	批準(zhǔn)申請和受理的流程及其相關(guān)文檔	批準(zhǔn)申請和受理的成本與效果	《批準(zhǔn)申請書》和《批準(zhǔn)受理回執(zhí)》的時效
批準(zhǔn)處理	審閱批準(zhǔn)材料和批準(zhǔn)決定做出的流程及其相關(guān)文檔	審閱批準(zhǔn)材料和批準(zhǔn)決定做出的成本與效果	《批準(zhǔn)決定書》的時效
持續(xù)監(jiān)督	《審核結(jié)論報告》和《批準(zhǔn)決定書》到期檢查和機(jī)構(gòu)及其環(huán)境變化檢查的流程及其相關(guān)文檔	《審核結(jié)論報告》和《批準(zhǔn)決定書》到期檢查和機(jī)構(gòu)及其環(huán)境變化檢查的成本與效果	《機(jī)構(gòu)變化因素的描述報告》和《環(huán)境變化因素的描述報告》的時效
備注：66
2021/4/26
67
監(jiān)控與審查的文檔
過程	輸出文檔	文檔內(nèi)容
對象確立	《對象確立的監(jiān)控與審查記錄》	對象確立過程中監(jiān)控和審查的范圍、對象、時間、過程、結(jié)果和措施等。
風(fēng)險評估	《風(fēng)險評估的監(jiān)控與審查記錄》	風(fēng)險評估過程中監(jiān)控和審查的范圍、對象、時間、過程、結(jié)果和措施等。
風(fēng)險控制	《風(fēng)險控制的監(jiān)控與審查記錄》	風(fēng)險控制過程中監(jiān)控和審查的范圍、對象、時間、過程、結(jié)果和措施等。
審核批準(zhǔn)	《審核批準(zhǔn)的監(jiān)控與審查記錄》	審核批準(zhǔn)過程中監(jiān)控和審查的范圍、對象、時間、過程、結(jié)果和措施等。
備注：67
2021/4/26
68
三、信息安全風(fēng)險管理各組成部分

1、對象確立
2、風(fēng)險評估
3、風(fēng)險控制
4、審核批準(zhǔn)
5、監(jiān)控與審查
6、溝通與咨詢

備注：68
2021/4/26
69
溝通與咨詢的概述

溝通與咨詢?yōu)樾畔踩L(fēng)險管理主循環(huán)的四個步驟（即對象確立、風(fēng)險評估、風(fēng)險控制和審核批準(zhǔn)）中相關(guān)人員提供溝通和咨詢。溝通是為直接參與人員提供交流途徑，以保持他們之間的協(xié)調(diào)一致，共同實現(xiàn)安全目標(biāo)。咨詢是為所有相關(guān)人員提供學(xué)習(xí)途徑，以提高他們的風(fēng)險意識、知識和技能，配合實現(xiàn)安全目標(biāo)。
備注：69
2021/4/26
70
溝通與咨詢的方式
方式	方式	接受方	接受方	接受方	接受方	接受方
方式	方式	決策層	管理層	執(zhí)行層	支持層	用戶層
發(fā)
出
方	決策層	交流	指導(dǎo)和檢查	指導(dǎo)和檢查	表態(tài)	表態(tài)
發(fā)
出
方	管理層	匯報	交流	指導(dǎo)和檢查	宣傳和介紹	宣傳和介紹
發(fā)
出
方	執(zhí)行層	匯報	匯報	交流	宣傳和介紹	培訓(xùn)和咨詢
發(fā)
出
方	支持層	培訓(xùn)和咨詢	培訓(xùn)和咨詢	培訓(xùn)和咨詢	交流	培訓(xùn)和咨詢
發(fā)
出
方	用戶層	反饋	反饋	反饋	反饋	交流
備注：70
2021/4/26
71
溝通與咨詢的過程
備注：71
2021/4/26
72
貫穿對象確立
階段	參與人員	參與人員	涉及內(nèi)容
階段	信息系統(tǒng)	信息安全風(fēng)險管理	涉及內(nèi)容
風(fēng)險管理準(zhǔn)備	決策層	決策層
管理層	《風(fēng)險管理計劃書》
信息系統(tǒng)調(diào)查	管理層
執(zhí)行層
支持層	管理層
執(zhí)行層	《信息系統(tǒng)的描述報告》
信息系統(tǒng)分析	管理層
執(zhí)行層
支持層	管理層
執(zhí)行層	《信息系統(tǒng)的分析報告》
信息安全分析		管理層
執(zhí)行層
支持層	《信息系統(tǒng)的安全要求報告》
備注：72
2021/4/26
73
貫穿風(fēng)險評估
階段	參與人員	參與人員	涉及內(nèi)容
階段	信息系統(tǒng)	信息安全風(fēng)險管理	涉及內(nèi)容
風(fēng)險評估準(zhǔn)備	決策層	決策層
管理層	《風(fēng)險評估計劃》
風(fēng)險評估準(zhǔn)備	管理層	管理層
執(zhí)行層
支持層	《風(fēng)險評估程序》
《入選風(fēng)險評估方法和工具列表》
風(fēng)險因素識別	管理層
執(zhí)行層	執(zhí)行層
支持層	《需要保護(hù)的資產(chǎn)清單》
《面臨的威脅列表》
《存在的脆弱性列表》
備注：73
2021/4/26
74
貫穿風(fēng)險評估
風(fēng)險程度分析	管理層
執(zhí)行層	執(zhí)行層
支持層	《已有安全措施分析報告》
《威脅源分析報告》
《威脅行為分析報告》
《脆弱性分析報告》
《資產(chǎn)價值分析報告》
《影響程度分析報告》
風(fēng)險等級評價		執(zhí)行層
支持層	《威脅源等級列表》
《威脅行為等級列表》
《脆弱性等級列表》
《資產(chǎn)價值等級列表》
《影響程度等級列表》
《風(fēng)險評估報告》
備注：74
2021/4/26
75
貫穿風(fēng)險控制
階段	參與人員	參與人員	涉及內(nèi)容
階段	信息系統(tǒng)	信息安全風(fēng)險管理	涉及內(nèi)容
現(xiàn)存風(fēng)險判斷	決策層
管理層	決策層
管理層
執(zhí)行層
支持層	《風(fēng)險接受等級劃分表》
《現(xiàn)存風(fēng)險接受判斷書》
控制目標(biāo)確立	管理層	管理層
執(zhí)行層
支持層	《風(fēng)險控制需求分析報告》
《風(fēng)險控制目標(biāo)列表》
備注：75
2021/4/26
76
貫穿風(fēng)險控制
控制措施選擇		執(zhí)行層
支持層	《入選風(fēng)險控制方式說明報告》
《入選風(fēng)險控制措施說明報告》
控制措施實施	管理層
執(zhí)行層	管理層
執(zhí)行層
支持層	《風(fēng)險控制實施計劃書》
《風(fēng)險控制實施記錄》
備注：76
2021/4/26
77
貫穿審核批準(zhǔn)
階段	參與人員	參與人員	涉及內(nèi)容
階段	信息系統(tǒng)	信息安全風(fēng)險管理	涉及內(nèi)容
審核申請		決策層
管理層
執(zhí)行層	《審核申請書》
《審核材料》
《審核受理回執(zhí)》
審核處理		管理層
執(zhí)行層
支持層	《審查結(jié)果報告》
《測試結(jié)果報告》
《專家鑒定報告》
《審核結(jié)論報告》
備注：77
2021/4/26
78
貫穿審核批準(zhǔn)
批準(zhǔn)申請		決策層
管理層
執(zhí)行層	《批準(zhǔn)申請書》
《批準(zhǔn)受理回執(zhí)》
批準(zhǔn)處理	決策層	決策層
管理層	《批準(zhǔn)決定書》
持續(xù)監(jiān)督	管理層
執(zhí)行層	管理層
執(zhí)行層	《機(jī)構(gòu)變化因素的描述報告》
《環(huán)境變化因素的描述報告》
備注：78
2021/4/26
79
溝通與咨詢的文檔
過程	輸出文檔	文檔內(nèi)容
對象確立	《對象確立的溝通與咨詢記錄》	對象確立過程中溝通和咨詢的范圍、對象、時間、內(nèi)容和結(jié)果等。
風(fēng)險評估	《風(fēng)險評估的溝通與咨詢記錄》	風(fēng)險評估過程中溝通和咨詢的范圍、對象、時間、內(nèi)容和結(jié)果等。
風(fēng)險控制	《風(fēng)險控制的溝通與咨詢記錄》	風(fēng)險控制過程中溝通和咨詢的范圍、對象、時間、內(nèi)容和結(jié)果等。
審核批準(zhǔn)	《審核批準(zhǔn)的溝通與咨詢記錄》	審核批準(zhǔn)過程中溝通和咨詢的范圍、對象、時間、內(nèi)容和結(jié)果等。
備注：79
2021/4/26
80
四、信息安全風(fēng)險管理的運用
      
1、規(guī)劃階段
2、設(shè)計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：80
2021/4/26
81
四、信息安全風(fēng)險管理的運用
      
1、規(guī)劃階段
2、設(shè)計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：81
2021/4/26
82
安全需求和目標(biāo)
明確安全總體方針
確保安全總體方針源自業(yè)務(wù)期望
明確項目范圍
清晰描述項目范圍內(nèi)所涉及系統(tǒng)的安全現(xiàn)狀
提交明確的安全需求文檔
清晰描述從系統(tǒng)的那些層次進(jìn)行安全實現(xiàn)
對實現(xiàn)的可能性進(jìn)行充分分析、論證
明確評價準(zhǔn)則并達(dá)成一致
備注：82
2021/4/26
83
風(fēng)險管理的過程概述
　　　在項目規(guī)劃階段，風(fēng)險管理者應(yīng)能清楚、準(zhǔn)確地描述機(jī)構(gòu)的安全總體方針、安全策略、風(fēng)險管理范圍、當(dāng)前正在進(jìn)行的或計劃中將要執(zhí)行的風(fēng)險管理活動以及當(dāng)前特殊安全要求等。
備注：83
2021/4/26
84
風(fēng)險管理的活動
序號	風(fēng)險管理活動	所處風(fēng)險管理流程
1	明確安全總體方針	對象確立
2	安全需求分析	對象確立、風(fēng)險評估
3	風(fēng)險評價準(zhǔn)則達(dá)成一致	風(fēng)險控制、審核批準(zhǔn)
備注：84
2021/4/26
85
四、信息安全風(fēng)險管理的運用
      
1、規(guī)劃階段
2、設(shè)計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：85
2021/4/26
86
安全需求和目標(biāo)
對用以實現(xiàn)安全系統(tǒng)的各類技術(shù)進(jìn)行有效性評估。
對用于實施方案的產(chǎn)品需滿足安全保護(hù)等級的要求
對自開發(fā)的軟件要在結(jié)構(gòu)設(shè)計階段就充分考慮安全風(fēng)險
備注：86
2021/4/26
87
風(fēng)險管理的過程概述
　　　在設(shè)計階段，風(fēng)險管理者應(yīng)能標(biāo)識出在項目結(jié)構(gòu)實現(xiàn)過程中潛在的安全風(fēng)險，為設(shè)計說明中的安全性設(shè)計提供評判依據(jù)，并對實施方案中選擇的產(chǎn)品進(jìn)行合格檢查，確保項目設(shè)計階段的重要環(huán)節(jié)均能得到較好的安全風(fēng)險控制。
備注：87
2021/4/26
88
風(fēng)險管理的活動
序號	風(fēng)險管理活動	所處風(fēng)險管理流程
1	安全技術(shù)選擇	風(fēng)險控制
2	安全產(chǎn)品選擇	風(fēng)險控制
3	軟件設(shè)計風(fēng)險控制	風(fēng)險控制
備注：88
2021/4/26
89
四、信息安全風(fēng)險管理的運用
      
1、規(guī)劃階段
2、設(shè)計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：89
2021/4/26
90
安全需求和目標(biāo)
　　實施階段是按照規(guī)劃和設(shè)計階段所定義的信息系統(tǒng)實施方案，采購設(shè)備和軟件，開發(fā)定制功能，集成、部署、配置和測試系統(tǒng)，培訓(xùn)人員，并對是否允許系統(tǒng)投入運行進(jìn)行審核批準(zhǔn)。
備注：90
2021/4/26
91
風(fēng)險管理的過程概述
　　　實施階段的風(fēng)險管理主要活動包括檢查與配置、安全測試、人員培訓(xùn)及授權(quán)運行，同時在上述過程中通過監(jiān)控與審查、溝通與咨詢來確保本階段風(fēng)險管理目標(biāo)的實現(xiàn)。 
備注：91
2021/4/26
92
風(fēng)險管理的活動
序號	風(fēng)險管理活動	所處風(fēng)險管理流程
1	檢查與配置	風(fēng)險控制
2	安全測試	風(fēng)險控制
3	人員培訓(xùn)	風(fēng)險控制
4	授權(quán)系統(tǒng)運行	審核批準(zhǔn)
備注：92
2021/4/26
93
四、信息安全風(fēng)險管理的運用
      
1、規(guī)劃階段
2、設(shè)計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：93
2021/4/26
94
安全需求和目標(biāo)
　　運行維護(hù)階段是在信息系統(tǒng)經(jīng)過授權(quán)投入運行之后，通過風(fēng)險管理的相關(guān)過程和活動，確保信息系統(tǒng)在運行過程中、以及信息系統(tǒng)或其運行環(huán)境發(fā)生變化時維持系統(tǒng)的正常運行和安全性。
備注：94
2021/4/26
95
風(fēng)險管理的過程概述
　　　運行維護(hù)階段的風(fēng)險管理主要活動包括安全運行和管理、變更管理、風(fēng)險再評估、定期重新審批，同時在上述過程中通過監(jiān)控與審查、溝通與咨詢來確保本階段風(fēng)險管理目標(biāo)的實現(xiàn)。 
備注：95
2021/4/26
96
運行維護(hù)階段風(fēng)險管理活動的流程 
備注：96
2021/4/26
97
四、信息安全風(fēng)險管理的運用
      
1、規(guī)劃階段
2、設(shè)計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：97
2021/4/26
98
安全需求和目標(biāo)
　　　廢棄階段是對信息系統(tǒng)的過時或無用部分進(jìn)行報廢處理的過程。在廢棄階段，風(fēng)險管理的目標(biāo)是確保信息、硬件、軟件在執(zhí)行廢棄的過程中確保其安全廢棄，防止發(fā)生信息系統(tǒng)的安全目標(biāo)遭到破壞。
備注：98
2021/4/26
99
風(fēng)險管理的過程概述
　　　系統(tǒng)廢棄階段涉及到信息、硬件和軟件的安全處置，應(yīng)防止敏感信息就泄漏給外部人員。系統(tǒng)廢棄的風(fēng)險管理活動包括：確定廢棄對象，對廢棄對象的風(fēng)險評估，對廢棄對象及廢棄過程的風(fēng)險控制。同時在上述過程中通過監(jiān)控與審查、溝通與咨詢來確保本階段風(fēng)險管理目標(biāo)的實現(xiàn)。 
備注：99
2021/4/26
100
風(fēng)險管理的活動
序號	風(fēng)險管理活動	所處風(fēng)險管理流程
1	確立廢棄對象	對象確立
2	廢棄對象的風(fēng)險評估	風(fēng)險評估
3	廢棄過程的風(fēng)險控制	風(fēng)險控制
4	廢棄后的評審	審核批準(zhǔn)
備注：100
2021/4/26
101
五、結(jié)束語

備注：101

網(wǎng)友評論 more

其他最新內(nèi)容

04-04