GBT221080信息安全风险评估管理程序.pdf

ISMS 信息安全风险评估管理程序

1 目的

从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的威胁及其存在的脆弱性，

评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施；为防范

和化解信息安全风险，将风险控制在可接受的水平，从而最大限度地为保障信息安全提供科学依据。

2 适用范围

信息安全管理体系覆盖范围内的所有信息资产。

3 术语和定义

引用 ISO/IEC27001:2005(idt GB/T 22080-2008)和 ISO/IEC27002:2005(idt GB/T 22081-2008)的相

4.2 部门信息安全主管

 负责本部门范围内风险评估相关活动的组织实施

 负责本部门范围内风险处理计划的组织实施

4.3 部门信息安全员

 在部门安全主管领导下，负责本部门风险评估相关活动的实施

 在部门安全主管领导下，负责本部门风险处理计划的实施

5 风险评估方法

5.1 风险各要素的关系

风险评估中各要素的关系如图 1。