保密风险评估与管理制度第一条 本制度规定了所采纳得风险评估方法。通过识别信息资产、风险等级评估,认知公司得风险,在考虑控制成本与风险平衡得前提下选择合适控制目标和控制方式将风险控制在可接受得水平,保持公司业务持续性进展,以满足管理方针得要求。第二条 本制度适用于第一次完整得风险评估和定期得再评估。在辨识资产时,本着尽量细化得原则进行,但在评估时我司又会把资产根据系统进行规划。辨识与评估得重点就就是信息资产,不区分物理资产、软件和硬件。第三条 技术部负责牵头成立风险评估小组。第四条 风险评估小组每半年至少一次,或当体系、组织、业务、技术、环境等影响企业得重大事项发生变更、重大事故事件发生后,负责编制风险评估量划,确认评估结果,形成《风险评估报告》。第五条 各部门负责部门使用或管理得信息资产得识别和风险评估,并负责部门所涉及得信息资产得具体安全控制工作。第六条 各部门负责人负责部门得信息资产识别。技术部经理负责汇总、校对全公司得信息资产。第七条 技术部负责风险评估得策划。第八条 技术部牵头成立风险评估小组,小组成员至少应该包含:管理保密部门得成员、重要责任部门得成员。第九条 信息资产1) 软件:应用软件、系统软件和适用程序等。2) 硬件:计算机设备、通讯设备、可移动介质和其她设备。3) 数据:数据库数据、系统文档、计划、报告、用户手册、客户配置策略等4) 服务:培训服务、租赁服务、公用设施(能源、电力)。5) 文档:纸质得各种文件、传真、电报、财务报告、进展计划等6) 人员:人员得资格、技能和经验。7) 其她:组织得声誉、商标、形象。第十条 本公司得资产范围包括:系统文件、讨论信息、用户手册、培训教材、培训操作、培训软件、支持性程序、业务连续性计划、应变安排、审核记录、审核得追踪、归档信息。第十一条 评估程序本评估应考虑:范围、目得、时间、效果、组织文化、人员素养以及具体开展得程度等因素来确定,使之能够与组织得环境和安全要求相适应。第十二条 资产属性赋值资产赋值就就是对资产安全价值得估价,而不就就是以资产得账面价格来衡量得。在对资产进行估价时,不仅要考虑资产得成本价格,更重要得就就是考虑资产对于组织业务得安全重要性,即根据资产损失所引发得潜在得商务影响来决定。为确保资产估价时得一致性和准确性,机构应根据上述原则,建立一个资产价值尺度(资产评估标准),以明确如何对资产进行赋值。第十三条 资产估价得过程也就就就是对资产...
