风险评估风险评估通过对信息资产的识别与赋值、威胁评估、系统脆弱点评估、现有安全措施评估、综合风险分析等若干环节，对电力行业信息系统的安全风险进行半定量分析，清晰的展现信息系统当前的安全现状，明确信息系统每个层面上的安全隐患和脆弱性，同时提供公正、客观、翔实的数据作为决策参考，为下一步控制和降低安全风险、改善安全状况、实施信息系统的风险管理提供依据。 1、什么是信息安全风险评估？ 风险评估服务是通过对信息资产的识别与赋值、威胁评估、系统脆弱点评估、现有安全措施评估、综合风险分析等若干环节，对信息系统的安全风险进行半定量分析，清晰的展现信息系统当前的安全现状，提供公正、客观、翔实的数据作为决策参考，为下一步控制和降低安全风险、改善安全状况、实施信息系统的风险管理提供依据。 2、在实施了信息安全等级保护测评后，为什么还要进行信息安全风险评估？ 等级保护是一项针对信息系统进行分等级防护的信息安全管理制度。等级测评的目的决不仅仅是检验信息系统安全保护措施与安全标准的符合性，更大程度上是希望通过各类调研手段和测评技术手段，判断信息系统的真实安全状况，从而为信息系统的安全建设、整改、运行、维护提供依据。通过信息安全风险评估对信息系统的安全等级保护情况进行评估，依据已确定等级的相关保护要求，对系统的保护效果、潜在风险进行评估，从风险管理的角度有针对性地提出抵御威胁的安全等级防护对策和整改措施，从而最大限度地减少经济损失和负面影响。 作为信息系统的运营使用单位，在信息系统满足等级保护标准要求的前提下，需要综合考虑系统面向的安全风险和安全防护成本，做出消除风险、缓解风险、接受风险的不同决策，从而充分贯彻等级保护实施过程中的重点保护原则和动态调整原则。因此，风险评估是等级测评工作中的关键环节，风险评估的结果将作为等级测评最终结论的重要依据。 因此，等级测评工作在等保符合性测评的基础上，开展全面的信息系统安全风险评估，特别是对于检验发现的标准不符合项，更要充分评估对应的脆弱点和安全威胁，判断系统安全风险的影响和可能性，全面掌控信息系统的风险状况，从而提供安全决策支持。 3、信息安全风险评估适用于哪些用户？ a、需要了解当前资产潜在风险的用户； 4、信息安全风险评估的政策依据及标准依据？ 国家信息化领导小组《关于加强信息安全保障工作的意见》(中办发[2003]27号文件)将信息安全风险评估作为一项重要的举措。国信办2005年5号文率先在北京、上海、黑龙江、云南等地，以及银行、税务、电力三个行业进行试点，根据试点经验，各省市建立信息安全风险评估管理制度。 5、信息安全风险评估包括哪几个主要实施阶段？ 风险评估可以分为资产识别、重要资产赋值、威胁分析、脆弱性识别、风险计算、风险控制措施提出等实施阶段。 6、信息安全风险评估的结果形式是什么？ 风险评估服务可帮助用户系统降低安全风险，具体将带来以下价值： 风险评估服务将全面给出用户信息系统每个层面上的安全隐患和脆弱性报告，使用户对信息安全各个层次的安全性状况和整体安全状况有全面具体的了解。 风险评估可以重点针对信息系统在符合性检验中所发现的标准不符合项，充分了解对应的脆弱点和安全威胁，判断真实安全风险的影响和可能性，结合安全防护成本提供系统安全决策支持，充分贯彻等级保护实施过程中的重点保护原则和动态调整原则。 7、信息安全风险评估的收费标准？ 根据评估对象的不同而不同。风险评估的对象可以是：单个独立的信息系统、支持组织业务的整体信息处理环境、整个组织范围。信息安全风险评估的费用主要依据以下几个方面进行核算： |
京公网安备 11010802034101号