扫一扫，加我微信
15338824582
0755-21380663
1.目的
在ISMS 覆盖范围内对信息安全现行状况进行系统风险评估，形成评估报告，描述风险等级，识别和评价供处理风险的可选措施，选择控制目标和控制措施处理风险。
2.范围
在ISMS 覆盖范围内主要信息资产
3.职责
3.1各部门负责部门内部资产的识别，确定资产价值。
3.2ISMS小组负责风险评估和制订控制措施和信息系统运行的批准。
4.内容
4.1资产的识别
4.1.1各部门每年按照管理者代表的要求负责部门内部资产的识别，确定资产价值。
4.1.2资产分类
根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类。
4.1.3资产赋值
资产赋值就是对资产在机密性、完整性和可用性上的达成程度进行分析，选择对资产机密性、完整性和可用性最为重要（分值最高）的一个属性的赋值等级作为资产的最终赋值结果。资产等级划分为五级，分别代表资产重要性的高低。等级数值越大，资产价值越高。
1）机密性赋值
根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的应达成的不同程度或者机密性缺失时对整个组织的影响。
赋值 | 标识 | 定义 |
5 | 极高 | 包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性影响，如果泄漏会造成灾难性的损害 |
4 | 高 | 包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害 |
3 | 中等 | 包含组织的一般性秘密，其泄露会使组织的安全和利益受到损害 |
2 | 低 | 包含仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成损害 |
1 | 可忽略 | 包含可对社会公开的信息，公用的信息处理设备和系统资源等 |
2）完整性赋值
根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。
赋值 | 标识 | 定义 |
5 | 极高 | 完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补 |
4 | 高 | 完整性价值较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，比较难以弥补 |
3 | 中等 | 完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补 |
2 | 低 | 完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，可以忍受，对业务冲击轻微，容易弥补 |
1 | 可忽略 | 完整性价值非常低，未经授权的修改或破坏对组织造成的影响可以忽略，对业务冲击可以忽略 |
3）可用性赋值
根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
赋值 | 标识 | 定义 |
5 | 极高 | 可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上 |
4 | 高 | 可用性价值较高，合法使用者对信息及信息系统的可用度达到每天90%以上 |
3 | 中等 | 可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上 |
2 | 低 | 可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上 |
1 | 可忽略 | 可用性价值可以忽略，合法使用者对信息及信息系统的可用度在正常工作时间低于25% |
3分以上为重要资产，重要信息资产由IT 部门确立清单
4.2威胁识别
4.2.1威胁分类
对重要资产应由ISMS小组识别其面临的威胁。针对威胁来源，根据其表现形式将威胁分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、黑客攻击技术、物理攻击、泄密、篡改和抵赖等。
4.2.2威胁赋值
评估者应根据经验和（或）有关的统计数据来判断威胁出现的频率。威胁频率等级划分为五级，分别代表威胁出现的频率的高低。等级数值越大，威胁出现的频率越高。威胁赋值见下表。
等级 | 标识 | 定义 |
5 | 很高 | 威胁出现的频率很高，在大多数情况下几乎不可避免或者可以证实经常发生过（每天） |
4 | 高 | 威胁出现的频率较高，在大多数情况下很有可能会发生或者可以证实多次发生过（每周） |
3 | 中 | 威胁出现的频率中等，在某种情况下可能会发生或被证实曾经发生过（每月、曾经发生过） |
2 | 低 | 威胁出现的频率较小，一般不太可能发生，也没有被证实发生过（每年） |
1 | 很低 | 威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生（特殊情况） |
4.3脆弱性识别
4.3.1脆弱性识别内容
脆弱性识别主要从技术和管理两个方面进行，技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理和组织管理两方面，前者与具体技术活动相关，后者与管理环境相关。
4.3.2脆弱性严重程度赋值
脆弱性严重程度的等级划分为五级，分别代表资产脆弱性严重程度的高低。等级数值越大，脆弱性严重程度越高。脆弱性严重程度赋值见下表
等级 | 标识 | 定义 |
5 | 很高 | 如果被威胁利用，将对资产造成完全损害（90％以上） |
4 | 高 | 如果被威胁利用，将对资产造成重大损害（70％） |
3 | 中 | 如果被威胁利用，将对资产造成一般损害（30％） |
2 | 低 | 如果被威胁利用，将对资产造成较小损害（10％） |
1 | 很低 | 如果被威胁利用，将对资产造成的损害可以忽略（10％以下） |
4.4已有安全措施的确认
ISMS小组应对已采取的安全措施的有效性进行确认，对有效的安全措施继续保持，以避免不必要的工作和费用，防止安全措施的重复实施。对于确认为不适当的安全措施应核实是否应被取消，或者用更合适的安全措施替代。
4.5风险分析
完成了资产识别、威胁识别、脆弱性识别，以及对已有安全措施确认后，ISMS小组采用相乘法确定威胁利用脆弱性导致安全事件发生的可能性，考虑安全事件一旦发生其所作用的资产的重要性及脆弱性的严重程度判断安全事件造成的损失对组织的影响，即安全风险。
4.5.1安全事件发生的可能性等级P=(T*V)0.5,(四舍五入,V=5时加严)
