本程序，作为《wx-wi-it-001 信息安全管理流程 a0版》的附件，随制度发行，并同步生效。
信息安全风险评估管理程序。
1.0目的。
在isms 覆盖范围内对信息安全现行状况进行系统风险评估，形成评估报告，描述风险等级，识别和评价供处理风险的可选措施，选择控制目标和控制措施处理风险。
2.0适用范围。
在isms 覆盖范围内主要信息资产。
3.0定义（无）
4.0职责。
4.1各部门负责部门内部资产的识别，确定资产价值。
4.2it部负责风险评估和制订控制措施。
4.3财务中心副部负责信息系统运行的批准。
5.0流程图。
同信息安全管理程序的流程。
6.0内容。
6.1资产的识别。
6.1.1各部门每年按照管理者代表的要求负责部门内部资产的识别，确定资产价值。
6.1.2资产分类。
根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类。
资产赋值就是对资产在机密性、完整性和可用性上的达成程度进行分析，选择对资产机密性、完整性和可用性最为重要（分值最高）的一个属性的赋值等级作为资产的最终赋值结果。资产等级划分为五级，分别代表资产重要性的高低。等级数值越大，资产价值越高。
1）机密性赋值。
根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的应达成的不同程度或者机密性缺失时对整个组织的影响。
2）完整性赋值。
根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。
3）可用性赋值。
根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
3分以上为重要资产，重要信息资产由it部确立清单。
6.2威胁识别。
6.2.1威胁分类。
对重要资产应由isms小组识别其面临的威胁。针对威胁**，根据其表现形式将威胁分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意**和病毒、越权或滥用、黑客攻击技术、物理攻击、泄密、篡改和抵赖等。
6.2.2威胁(t)赋值。
评估者应根据经验和（或）有关的统计数据来判断威胁出现的频率。威胁频率等级划分为五级，分别代表威胁出现的频率的高低。等级数值越大，威胁出现的频率越高。威胁赋值见下表。
6.3脆弱性识别。
6.3.1脆弱性识别内容。
脆弱性识别主要从技术和管理两个方面进行，技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理和组织管理两方面，前者与具体技术活动相关，后者与管理环境相关。
6.3.2脆弱性(v)严重程度赋值。
脆弱性严重程度的等级划分为五级，分别代表资产脆弱性严重程度的高低。等级数值越大，脆弱性严重程度越高。脆弱性严重程度赋值见下表。
6.4已有安全措施的确认。
isms小组应对已采取的安全措施的有效性进行确认，对有效的安全措施继续保持，以避免不必要的工作和费用，防止安全措施的重复实施。对于确认为不适当的安全措施应核实是否应被取消，或者用更合适的安全措施替代。
6.5风险分析。
完成了资产识别、威胁识别、脆弱性识别，以及对已有安全措施确认后，isms小组采用矩阵法确定威胁利用脆弱性导致安全事件发生的可能性，考虑安全事件一旦发生其所作用的资产的重要性及脆弱性的严重程度判断安全事件造成的损失对组织的影响，即安全风险。
6.5.1安全事件发生的可能性等级p=(t*v)0.
5,6.5.2安全事件发生后的损失等级l＝(a*v)0.
5,6.5.3风险值r＝(l*p)，风险等级。
6.5.4风险管理策略。
6.5.4.
1完全的消除风险是不可能和不实际的。公司需要有效和经济的运转，因此必须根据安全事件的可能性和对业务的影响来平衡费用、时间、安全尺度几个方面的问题。公司在考虑接受残余风险时的标准为只接受中或低范围内的风险；但是对于必须投入很高的费用才能将残余风险降为中或低的情况，则分阶段实施控制。
6.5.4.2风险值越高，安全事件发生的可能性就越高，安全事件对该资产以及业务的影响也就越大，风险管理策略有以下：
接受风险：接受潜在的风险并继续运行信息系统，不对风险进行处理。
降低风险：通过实现安全措施来降低风险，从而将脆弱性被威胁源利用后可能带来的不利影响最小化（如使用防火墙、漏洞扫描系统等安全产品）。
规避风险：不介入风险，通过消除风险的原因和/或后果（如放弃系统某项功能或关闭系统）来规避风险。
转移风险：通过使用其它措施来补偿损失，从而转移风险，如购买保险。
6.5.4.
3风险等级3（含）以上为不可接受风险，3（不含）以下为可接受风险。如果是可接受风险，可保持已有的安全措施；如果是不可接受风险，则需要采取安全措施以降低、控制风险。安全措施的选择应兼顾管理与技术两个方面，可以参照信息安全的相关标准实施。
6.6 确定控制目标、控制措施和对策。
基于在风险评估结果报告中提出的风险级别，isms小组对风险处理的工作进行优先级排序。高等级（例如被定义为“非常高”或“高”风险级的风险）的风险项应该最优先处理。
评估所建议的安全措施。
实施成本效益分析。
选择安全措施。
制定安全措施的实现计划。
实现所选择的安全措施。
6.7 残余风险的监视与处理。
风险处理的最后过程中，isms小组应列举出信息系统中所有残余风险的清单。在信息系统的运行中，应密切监视这些残余风险的变化，并及时处理。
每年年初评估信息系统安全风险时，对残余风险和已确定的可接受的风险级别进行评审时，应考虑以下方面的变化：
组织结构；
技术； 业务目标和过程；
已识别的威胁；
已实施控制措施的有效性；
外部事件，如法律法规环境的变更、合同义务的变更和社会环境的变更。
6.8信息系统运行的批准。
isms小组考察风险处理的结果，判断残余风险是否处在可接受的水平之内。基于这一判断，管理层将做出决策，决定是否允许信息系统运行。
如果信息系统的残余风险不可接受，而现实情况又要求系统必须投入运行，且当前没有其它资源能胜任单位的使命。这时可以临时批准信息系统投入运行。
在这种情况下，必须由信息系统的主管者决定临时运行的时间段，制定出在此期间的应急预案以及继续处理风险的措施。在临时运行的时间段结束后，应重新评估残余风险的可接受度。如果残余风险仍然不可接受，则一般不应再批准信息系统临时运行。
7.0相关文件。
7.1《gb/t20984-2007信息安全风险评估规范》
8.0记录。
8.1《信息资产识别表》
8.2《重要资产清单》
8.3《风险评估表》
8.4《安全措施实施计划》
信息安全管理制度
信息安全管理规定。目的。在遵循集团 计算机信息安全管理制度 原则基础上，为确保公司网络平台 信息系统的正常。运行及信息系统中的信息数据安全，防止泄密，针对公司实际情况，制定本管理规定。范围。本办法适用于公司全体员工。术语定义。计算机信息 是指存储在计算机相关设备上的应用系统 软件 数据 文档 图纸等...
信息安全保密管理制度
为保守秘密，防止泄密问题的发生，根据 中华人民共和国保守国家秘密法 和国家保密局 计算机信息系统保密管理暂行规定 国家保密局 计算机信息系统国际联网保密管理规定 结合本单位实际，制定本制度。一 计算机网络信息安全保密管理规定。1 为防止病毒造成严重后果，对外来光盘 软件要严格管理，坚决不允许外来光盘...
信息安全风险管理制度
信息安全风险管理办法。北京国都信业科技 2017年10月。前言。本程序所规定的是北京国都信业科技 企业的信息安全风险管理原则，在具体实施过程中，各部门可结合本部门的实际情况，根据本程序的要求制定相应的文件，以便指导本部门的实施操作。本制度自实施之日起，立即生效。本制度由北京国都信业科技 企业信息管理...
公司信息安全管理制度
鑫欧克公司信息安全管理制度。一 信息安全指导方针。保障信息安全，创造用户价值，切实推行安全管理，积极预防风险，完善控制措施，信息安全，人人有责，不断提高顾客满意度。二 计算机设备管理制度 1 计算机的使用部门要保持清洁 安全 良好的计算机设备工作环境，禁止在计算机应用环境中放置易燃 易爆 强腐蚀 强...
信息安全事件管理制度
为加强公司及时调查和处理信息安全事件，最大限度降低由于信息安全事件而遭受损失，特制定本管理程序。本管理程序适用于公司对业务过程中所涉及的多种安全事件的管理。下列文件中的条款通过本标准引用而成为本标准的条款。凡是未注明日期的引用文件，其最新版本适用于本标准。iso iec 27001 信息安全管理体系...
公司IT信息安全管理制度
第一条总则通过加强公司计算机系统 办公网络 服务器系统的管理，保证网络系统安全运行，保证公司机密文件的安全，保障服务器 数据库的安全运行。加强计算机使用人员的安全意识，确保计算机系统正常运转。第二条范围。1 计算机网络系统由计算机硬件设备 软件及客户机的网络系统配置组成。2 软件包括 服务器操作系统...
11信息安全保密管理制度
一 为了处理工作中涉及的办公秘密和业务秘密信息，特制定计算机信息系统安全保密规定。二 各部门要有一名同志主管此项工作，要指定专人负责接入网络的安全保密管理工作和对上网信息的保密检查，落实好保密防范措施，对本单位上网人员进行保密教育和管理。三 涉密信息不得在与国际网络的计算机系统中存储，处理和传输。四...
安全生产信息档案管理制度
安全生产信息 台账 档案管理制度。一 安全生产档案是指安全生产管理活动中直接形成，对国家 社会和企业安全生产具有价值的文字 图表 声像等不同形式的历史纪录。二 按照有关规定，矿山必须具备必要的图纸 三 安全生产档案主要内容 1 成立安全生产委员会文件 2 成立安全生产管理机构及人员任命文件 3 安全...