安全管理之风险评估实施步骤

启动准备：
1、参考标准：《GB-T20984-2007 信息安全风险评估规范》《深圳市信息安全风险评估实施指南》
2、启动大会-《风险评估启动会议纪要》
3、信息安全风险评估工作计划-《XXXXX年度信息安全风险评估工作计划》
4、年度信息安全风险评估方案-《XXXXX年度信息安全风险评估方案》
实施阶段：
1、资产识别
资产分类：文档和数据、软件资产、硬件资产、人力资源、业务应用、物理环境及组织管理
资产赋值-《XXXXX年资产识别表清单》《XXXXX年重要资产识别表清单》
资产识别会议-《资产识别会议纪要》
2、威胁识别
识别威胁主体-《XXXXX年威胁识别清单》
3、脆弱性识别：
本地核查-《本地核查》
应用层扫描-《应用层扫描报告》
主机层扫描-《主机层扫描报告》
问卷调查-《调查问卷》
产生报告-《XXXXX年脆弱性识别清单》
威胁和脆弱性识别会议-《威胁和脆弱性识别会议纪要》
4、风险分析：
风险分析方法-《威胁风险系数计算矩阵》
风险值=资产重要性*风险系数-
风险系数=发生可能性和影响程度矩阵
风险等级划分
序号 风险值 风险等级
1 0-99 极低
2 100-199 低
3 200-399 中
4 400-599 高
5 600-1250 极高
不可接受风险划分
如：大于200为不可接受风险
风险分析结果-《重要资产的风险值表》
风险处置计划-《不可接受风险处理计划》
风险分析和处理计划会议-《风险分析和处理计划会议纪要》
结束阶段：
生成评估报告-《XXXXX年度信息安全风险评估报告》
生成总结报告-《XXXXX年度信息安全风险评估工作总结》
风险评估工作总结会议-《风险评估工作总结会议纪要》