保密风险评估与管理制度

《保密风险评估与管理制度》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、保密风险评估与管理制度　　篇一：保密风险评估　　风　　险　　评　　估　　报　　告　　XXXXX有限公司　　201xx年xx月　　1概述　　针对公司主要业务流程进行风险评估，其中包含了涉密信息系统集成业务管理、人力资源管理、资产管理、涉密场所管理等。2评估目的　　通过人员访谈、文档审查和实地察看相结合的方式查找公司信息系统软件开发主要业务流程的薄弱环节和安全隐患，分析可能面临的风险，为保密风险防控措施的落实提供依据。3评估依据　　《涉密信息系统集成资质单位保密标准》　　《中华人民共和国保守国家秘密法》　　《中华人民共和国保守国家秘密

2、法实旋条例》　　《涉密信息系统集成资质管理办法》　　4评估内容　　人力资源管理风险评估　　根据《涉密信息系统集成资质单位保密标准》及公司《安全保密管理制度》中《涉密人员管理制度》中的规定，从人员上岗、在岗、离岗管理三方面分析公司涉密人员管理现状，对公司涉密人员管理的业务流程进行风险评估，识别并评估风险点，进而制定出风险防控措施。　　风险级别定义　　风险严重程度级别参考书　　风险点　　?对从事涉密业务的人员进行审查，是否符合条件，符合条件的方可将其确定为涉密人员。是否对涉密人员进行保密教育培训，并签订保密承诺书后方能上岗。　　?对涉

3、密人员是否保守国家秘密，严格遵守各项保密规章制度进行审查，是否符合以下基本条件：　　（1）遵纪守法，具有良好的品行，无犯罪记录；　　（2）属于公司正式职工，并在其他公司无兼职；　　（3）社会关系清楚，本人及其配偶为中国境内公民。　　?审查公司与涉密人员签订的劳动合同或补充协议，是否已签署。　　?公司在岗涉密人员是否每年参加保密教育与保密知识、技能培训，培训的时间应不少于10个学时。　　?公司是否对在岗涉密人员进行定期考核评价。　　?公司是否向涉密人员发放保密补贴。　　?公司涉密人员在离岗离职时，是否经公司保密审查，签订保密承诺书，

4、并按相关保密规定实行脱密期管理。　　风险分析　　风险防控措施　　篇二：涉密信息系统安全风险评估　　涉密信息系统安全风险评估的探讨　　国家保密技术研究所杜虹　　引言　　XX年9月7日中共中央办公厅、国务院办公厅以中办发[XX]27号文件转发了《国家信息化领导小组关于加强国家信息安全保障工作的意见》。其中强调了要重视信息安全风险评估工作。XX年1月9日国家召开了全国信息安全保障工作会议，黄菊同志在讲话中指出：要开展信息安全风险评估和检查。根据风险评估的结果，进行相应等级的安全建设和管理，特别是对涉及国家机密的信息系统，要按照党和国家有

5、关保密规定进行保护。国家高度重视信息安全风险评估工作，并进一步明确了信息安全风险评估在国家信息安全保障工作中的地位和作用。本文将对信息安全风险评估的基本概念和涉及国家秘密的信息系统（以下简称“涉密信息系统”主要风险评估的作用、形式、步骤、方法等进行讨论。　　一、信息系统安全风险评估的基本概念　　信息系统的安全是一个动态的复杂过程，它贯穿于信息系统的整个生命周期。信息系统安全的威胁来自内部破坏、外部攻击、内外勾结进行的破坏以及信息系统本身所产生的意外事故，必须按照风险管理的思想，对可能的威胁和需要保护的信息资源进行风险分析，选择适当

6、的安全措施，妥善应对可能发生的安全风险。因此，对信息系统特别是重要的信息系统进行不断的安全风险评估是十分必要的。　　1．信息系统安全风险评估的定义　　所谓信息系统安全风险评估是指依据国家有关技术标准，对信息系统的完整性、保密性、可靠性等安全保障性能进行科学、公正的综合评估活动。风险评估是识别系统安全风险并决定风险出现的概率、结果的影响，补充的安全措施缓和这一影响的过程，它是风险管理的一部分。　　风险评估是对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能性的评估。它是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括

7、定性和定量的方法，确定信息资产的风险等级和优先风险控制顺序。　　2．信息安全风险评估的基本要素　　信息安全风险评估要关注如下基本要素：　　使命：一个组织机构通过信息化形成的能力要来进行的工作任务。　　依赖度：一个组织机构的使命对信息系统和信息的依靠程度。　　资产：通过信息化建设积累起来的信息系统、信息以及业务流程改造实现的应用服务的成果、人员能力和赢得的信誉。　　价值：资产的重要程度。　　威胁：对一个组织机构信息资产安全的侵害。　　脆弱性：信息资产及其防护措施在安全方面的不足和弱点。脆弱性也常常被称为弱点或漏洞。　　风险：某种威胁

8、利用暴露的系统对组织机构的资产造成损失的潜在可能性。风险由意外事件发生的概率及发生后可能产生的影响两种指标来衡量。　　残余风险：采取了安全保障措施，提高了防护能力后，仍然可能存在的风险。安全需求：为保证组织机构的使命正常行使，在信息安全保障措施方面