信息安全风险评估控制程序.pdf

信息安全风险评估报告54685

批

编审准

制核生

部部效

门门

日

期

修订记录

ChangesRecord

版本/修

订内容参考生效日期

Rev./ediDescriptionReferenceEffectiveDate

t

A0

首次发行

1、信息安全评估的作用和目的

明确企业信息系统的安全现状。进行信息安全评估后，可以企业准确地了解自身的

网络、各种应用系统以及管理制度规范的安全现状，从而明晰企业的安全需求。

确定企业信息系统的主要安全风险。在对网络和应用系统进行信息安全评估并进行风

险分级后，可以确定企业信息系统的主要安全风险，并企业选择避免、降低、接受等风险处置

措施。

指导企业信息系统安全技术体系与管理体系的建设。对企业进行信息安全评估后，可

以制定企业网络和系统的安全策略及安全解决方案，从而指导企业信息系统安全技术体系（如部

署防火墙、入侵检测与漏洞扫描系统、防病毒系统、数据备份系统、建立公钥基础设施PKI等）

与管理体系（安全组织保证、安全管理制度及安全培训机制等）的建设

2、适用范围

2.1、本制度适用于广州市拓璞电器发展有限公司

3、信息安全风险评估的基本要素

4、★使命：一个组织机构通过信息化形成的能力要来进行的工作任务。使命是信息

1

信息安全风险评报告54685

化的目的，一个信息系统如果不能实现具体的工作任务是没有意义的。对企业来说，信息系统的

使命是业务战略。

5、★依赖度：一个组织机构的使命对信息系统和信息的依靠程度。依赖度越高，风

险评估的任务就越重要。

6、★资产：通过信息化建设积累起来的信息系统、信息以及业务流程改造实现的应

用服务的成果、人员能力和赢得的信誉。

7、★价值：资产的重要程度。

8、★威胁：对一个组织机构信息资产安全的侵害。

9、★脆弱性：信息资产及其防护措施在安全方面的不足和弱点。脆弱性也常常被称

为弱点或漏洞。

10、威胁是外因，脆弱性是内因，威胁只有通过利用脆弱性才能造成安全事件。

11、★风险：某种威胁利用暴露的系统对组织机构的资产造成损失的潜在可能性。风

险由意外事件发生的概率及发生后可能产生的影响两种指标来衡量。

12、安全事件的后果和它发生的概率同时决定信息安全的投入和安全措施的强度。

13、★残余风险：采取了安全保障措施，提高了防护能力后，仍然可能存在的风险。

14、★安全需求：为保证组织机构的使命正常行使，在信息安全保障措施方面提出的

要