保密风险评估管理制度

保密风险评估管理制度篇一：涉密信息系统安全风险评估 涉密信息系统安全风险评估的探讨 国家保密技术研究所 杜虹 引言 2003年9月7日中共中央办公厅、国务院办公厅以中办发200327号文件转发了国家信息化领导小组关于加强国家信息安全保障工作的意见。其中强调了要重视信息安全风险评估工作。2004年1月9日国家召开了全国信息安全保障工作会议，黄菊同志在讲话中指出：要开展信息安全风险评估和检查。根据风险评估的结果，进行相应等级的安全建设和管理，特别是对涉及国家机密的信息系统，要按照党和国家有关保密规定进行保护。国家高度重视信息安全风险评估工作，并进一步明确了信息安全风险评估在国家信息安全保障工作中的地位和作用。本文将对信息安全风险评估的基本概念和涉及国家秘密的信息系统（以下简称“涉密信息系统”主要风险评估的作用、形式、步骤、方法等进行讨论。 一、信息系统安全风险评估的基本概念 信息系统的安全是一个动态的复杂过程，它贯穿于信息系统的整个生命周期。信息系统安全的威胁来自内部破坏、外部攻击、内外勾结进行的破坏以及信息系统本身所产生的意外事故，必须按照风险管理的思想，对可能的威胁和需要保护的信息资源进行风险分析，选择适当的安全措施，妥善应对可能发生的安全风险。因此，对信息系统特别是重要的信息系统进行不断的安全风险评估是十分必要的。 1信息系统安全风险评估的定义 所谓信息系统安全风险评估是指依据国家有关技术标准，对信息系统的完整性、保密性、可靠性等安全保障性能进行科学、公正的综合评估活动。风险评估是识别系统安全风险并决定风险出现的概率、结果的影响，补充的安全措施缓和这一影响的过程，它是风险管理的一部分。 风险评估是对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能性的评估。它是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，确定信息资产的风险等级和优先风险控制顺序。2信息安全风险评估的基本要素 信息安全风险评估要关注如下基本要素： 使命：一个组织机构通过信息化形成的能力要来进行的工作任务。 依赖度：一个组织机构的使命对信息系统和信息的依靠程度。 资产：通过信息化建设积累起来的信息系统、信息以及业务流程改造实现的应用服务的成果、人员能力和赢得的信誉。 价值：资产的重要程度。 威胁：对一个组织机构信息资产安全的侵害。 脆弱性：信息资产及其防护措施在安全方面的不足和弱点。脆弱性也常常被称为弱点或漏洞。 风险：某种威胁利用暴露的系统对组织机构的资产造成损失的潜在可能性。风险由意外事件发生的概率及发生后可能产生的影响两种指标来衡量。 残余风险：采取了安全保障措施，提高了防护能力后，仍然可能存在的风险。 安全需求：为保证组织机构的使命正常行使，在信息安全保障措施方面提出的要求。 安全保障措施：对付威胁，减少脆弱性，保护资产而采取的预防和限制意外事件的影响，检测、响应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、规程和机制的总称。 这些要素的相互关系如下（图1）所示：使命是资产来支付的。资产都有价值，信息化的程度越高，组织机构的任务越重要，对资产的依赖度越高，资产的价值就越大。资产的价值越大风险越大。风险是威胁发起的，威胁越大风险越大。威胁都要利用脆弱性，脆弱性越大风险越大。脆弱性使资产暴露，威胁利用脆弱性，危害资产，形成风险。我们对风险的意识，会引出防护需求。防护需求被防护措施所满足。防护措施抗击威胁，降低风险。 图1 风险评估各种要素的相互关系 通过防护措施对资产加以保护，对脆弱性加以弥补，从而降低了风险；此时威胁只能形成残余风险。可能有多个防护措施共同起作用，也可能有多个脆弱性被同时利用。有些脆弱性可能客观存在，但是可能没有对应的威胁。这可能是由于这个威胁不在机构考虑的范围内，或者这个威胁的影响极小被忽略不计外部威胁和系统脆弱性可能造成损失的潜在危险。采取了防护措施能够减低风险，使残余风险限制在能够承受的程度上。（如图2所示） 图2 威胁、资产、脆弱性、风险、保护措施、残余风险的关系3信息系统安全风险评估的形式 信息系统安全风险评估从信息系统拥有者的角度来看可划分为三种形式，即自我评估、委托评估和检查评估。 （1）自我评估 自我评估是指信息系统拥有者指定的本机构信息系统安全管理人员在信息系统运行维护中使用相应的安全风险评估工具按照一定的规范进行的评估活动。从信息系统拥有者的角度来看是完全主动的行为，其优点是可方便地进行经常性的评估，及时采取对策降低安全风险，是一种“自查自纠”的方式。这种方式因为是在一个机构内部进行，因此一般不会引入评估带来的新的风险，缺点是专业性和客观性稍较差。 （2）委托评估 委托评估是信息系统拥有者选择委托具有相应资质的评估单位按照一定的规范对信息系统进行的独立的评估活动。从信息系统拥有者的角度来看是完全自愿的，并具有一定的选择性。其优点是专业性、公证性和客观性较强。需注意的是对于评估可能引入新的风险，要加强控制。 （3）检查评估 检查评估是信息系统拥有者的上级机关或国家赋予信息安全管理职能的机关授权的评估单位根据一定的管理权限和程序，按照一定的规范对信息系统进行的独立的评估活动。此种评估带有检查的性质，从信息系统拥有者的角度来看具有某种被动性。其优点是专业性、公证性、客观性较强，一般也不会引入评估带来的新的风险。 当然从不同的角度来看，对信息系统安全风险评估可以有不同的划分形式。 二、涉密信息系统的安全风险评估 1安全风险评估在涉密信息系统安全保障中的作用 信息系统安全风险评估在信息系统安全保障中具有重要的作用。同样，涉密信息系统风险评估在涉密信息系统安全保障中具有重要的作用。涉密信息系统安全保密管理的全过程如下（图3）所示： 图3 涉密信息系统安全保密管理的全过程篇二：风险评估实施操作规程 风险评估实施操作规程 第一章 评估计划及评估方案制定阶段 第一条 为保证风险评估的实施质量，降低给评估对象带来的安全风险，安全管理员与评估对象相关的系统管理员、应用管理员等共同制定每个评估项目的详细计划和评估方案。 第二条 评估计划至少明确：目的，评估对象，评估内容，工作整体进度安排，资金安排，评估项目组人员安排和相关部门职责分工等。 第三条 评估方案至少包括：目的，评估对象，评估所依据的标准，具体评估要点及对应评估方法描述，采用的技术手段，各评估要点实施人员，被评估对象责任人配合要求，工作进度，对评估对象的影响分析及风险规避措施，保密要求等。 第二章 评估计划及评估方案审批阶段 第一条 为确保评估计划的可行性、评估方案的科学性和安全性，在实施之前，均应报网络与信息安全领导小组办公室审核，审核通过方可开展评估工作。 第二条 网络与信息安全领导小组办公室组织信息系统有关应用部门和单位对评估计划和评估方案进行审核。 第三条 针对三级及三级以上的对象进行风险评估，需报网络与信息安全领导小组批准。 第三章 风险评估实施阶段 第一条 在评估计划和评估方案通过审批后，由安全管理员组织评估方与相关系统管理员、应用管理员配合实施安全风险评估方案。 第二条 评估过程应有完备的文档记录，至少包括实施经过、原始数据、评估结果等等。 第四章 风险评估报告内容 第一条 风险评估的目的、被评估对象和评估范围、评估内容。 第二条 风险评估的组织形式、标准依据、实施方案、时间安排。 第三条 风险评估对象的管理现状、已有安全措施。 第四条 被评估对象资产价值、面临的威胁、存在的脆弱点、风险描述及分布。 第五条 安全风险处置及改进建议。 第五章 风险评估报告验收阶段 第一条 组织评估报告评审会，由单位相关部门、各系统管理员、应用管理员等对评估结论的准确性、评估目标的达成情况以及改进建议的合理性进行审核。 第二条 向单位主管领导汇报网络安全实际情况及改进建议，并根据审核意见启动风险处置阶段的工作。第三条 经单位管理层以及被评估方确认后，风险评估过程文档、评估报告作为风险评估资料进行保存、备案。同时，将评估报告报网络与信息安全领导小组备案。 第六章 风险处置阶段 第一条 由安全管理员针对评估所发现的安全风险及改进意见，按照高风险优先处置的原则，结合已有安全措施与相关系统管理员、应用管理员共同制定风险处置计划、改进方案并推动实施。 第二条 根据安全性和经济性平衡原则，并考虑现有技术、人员等条件限制，安全管理员、系统管理员、应用管理员共同确定可以改进的风险要点。 第三条 风险处置计划和改进方案核准下达后，由相关系统管理员和应用管理员负责按规定时限予以实施，并将实施结果报网络与信息安全领导小组备案。篇三：印刷厂保密风险评估报告 10.20 印刷厂保密风险评估报告 随着社会经济的高速发展，各类票据在市场经济与社会生活中所占的地位越来越重要。由于票据一般都具有一定的商业价值，在一定程度上要求商业票据在设计和性能要求不易被伪造、不易涂改、不易变更等特点。近年来，科技的不断进步，使得各类票据印刷中的防伪技术得到了很大的发展，而做好保密工作已经成为防伪票据印刷工作中的重中之重。我公司保密风险评估坚持以“积极防范、严谨务实、重点突出、管理细致”为原则，严格按照国家关于秘密载体印制资质管理的相关要求，未雨绸缪，防微杜渐，深入调查研究，全面分析企业所面临的保密风险因素及其影响，解决保密工作中存在的问题。 现将我公司保密风险评估结果报告如下： 一、保密意识风险 1、我公司为中国检验检疫科学研究院院属企业，属国有控股公司。公司骨干及中层以上领导干部均为中国共产党党员，党性坚定，且多为大专及以上学历，具有中高级技术职称，个人文化素质较高，多次接受上级主管部门的保密方面的教育培训。 2、我公司已制定详细的保密教育培训计划，公司设立专门的保密办公室，负责保密培训的组织及相关工作有委员会确定，新入职员工经保密培训后方可上岗，对要害部位的关键人员坚持从严考核的原则。 公司现有员工均经过保密培训，从讲政治的高度充分认识保密工作的重要性，进一步增强保密观念，切实加强对保密管理文件、规定的学习教育，强化保密意识，切实做好秘密载体印制过程的保密工作。 二、领导组织结构风险 1、我公司保密工作结构层次清晰，相关人员权责明确。我公司保密工作的领导机构为XX，由法定代表人XX总负责，主管全厂保密工作，包括制定符合公司安全保密制度方案，负责系统运维队伍的组织与管理。 2、按照“谁使用、谁负责”的原则，各科室、各部门负责人为本科室、本部门保密工作第一责任人，设备使用者为直接责任人，负责本单位各领域保密工作的具体事务。 三、保密形势分析风险 当前，随着互联网信息技术的迅猛发展，信息防伪领域窃密和反窃密斗争极为尖锐，防不胜防。而各种票据大量的发行和使用，需要更多、防伪功能更强的新型商业票据，对防伪技术提出了更高层次的要求，从整体情况来看，保密形势日益严峻。 四、工作方式风险 我司建立严格的安全机制，杜绝发生泄密事件。每月召开一次安全保密工作会议，从环境、设施、网络、系统软件、印刷运行、维护，人员、机构，职责、制度等各个层次和方面，制定相应的安全保密策略，确定相应的安全保护等级，确保公司业务与防伪信息系统自身不被破坏，不被入侵，不被非法进入，能保持正常运行；公司的涉密信息不被窃取、破坏或篡改。 五、保密环境风险 1、我公司切实加强对涉密材料以及技术使用全过程的监督和管理。对用于处理涉密资料等设备进行阻断网络的物理隔离方式，对计算机等涉密信息储藏设备安装防火墙和病毒查杀软件，按规定设置BIOS、系统登录和屏幕保护三级密码。 2、我公司已按保密规定，在重要涉密工作场合配备密码文件柜、防盗装置、视频监控装置、计算机视频干扰器等保密设备。 六、管理制度措施风险 1、管理制度风险为进一步加强公司保密管理工作，确保涉密信息的安全，公司根据中华人民共和国保守国家秘密法、国家秘密载体保密管理规定及相关法律法规的规定，结合公司当前工作实际，制定了相关保密规定，对不符合保密规定，缺乏安全保障的问题及时进行整改。进一步建立和完善公司业务涉密环节的保密管理制度，坚持按制度办事，杜绝各类泄密事件的发生。 2、奖惩机制风险 对违反本规定和其他保密法规，造成信息泄密的，追究责任人和各科室、部门领导的责任。 七、涉密资源管理风险 1、涉密载体管理风险 （1）公司使用的涉密印刷文件、涉密计算机、移动存储介质（移动硬盘、光盘、U盘、录像带、录音带以及MP3、MP4）等具备数据储存功能的介质进行统一登记，建立详细准确的办公台帐并报公司保密办公室备案，日常保管由使用单位保密第一负责人或保密员保管。涉密印刷文件及信息载体实行使用登记制度，不得带离公司办公区域。建立登记薄，登记借用人、借用时间、归还时间等。 （2）在制印过程中，对原稿、校样、成品、半成品、印版、软片等，各工序履行交接手续，印制完成后进行清点，并在保密人员的监督下，到指定地点销毁。 （3）涉密移动硬盘用于涉密资料处理完毕后，由借用人负责删除涉密资料，并对移动硬盘进行格式化后归还。涉密移动硬盘维修时，公司保密人员必须在场。送修前必须对硬盘进行格式化处理。涉密载体不得擅自报废遗弃，必须交由公司专门机构进行管理。 2、网络管理风险 （1）未经批准，公司涉密计算机等信息载体一律不许连接网络，不得通过网络下载文件。如有特殊需求，必须事先提出申请，并报本部门主管领导审核，经领导审批后采用加密措施后方可实施。上网涉密计算机安装物理隔离卡。 （2）入网必须经过公司保密部门严格审核，公司入网计算机使用的域名和IP地址，须报公司备案并定期接受保密部门的安全检查。 （3）涉密人员在其它场所上互联网时，要提高保密意识，不得在聊天室、电子公告系统、网络新闻上发布、谈论和传播有关企业涉密票据印刷秘密的信息。 综上所述，目前我公司保密制度完备，保密环境良好，工作人员素质高、保密意识与责任心强，且有性能可靠、质量过硬的保密软硬件设备，能够确保达到国家关于秘密载体印制资质管理的相关要求。13