保密风险评估管理制度
保密风险评估与管理制度
保密风险评估与管理制度保密是企业信息安全的核心要素之一，为了确保企业信息的保密性、完整性和可用性，制定和实施一套有效的保密风险评估与管理制度至关重要。
本文将从保密风险评估的重要性、评估方法以及制度的具体管理措施等方面进行论述。
一、保密风险评估的重要性保密风险评估是保证企业信息安全的基础，具有以下重要性：1. 识别潜在风险：通过保密风险评估，能够全面识别和分析企业面临的潜在保密风险，包括内部员工的不当行为、外部黑客攻击、自然灾害等各种可能导致信息泄露的因素。
2. 指导安全投入：通过评估风险的大小和可能造成的损失，可以明确投入相应的安全资源，避免资源浪费和短板存在。
3. 制定有针对性的保密策略：通过评估结果，可以制定相应的保密策略和方案，针对不同的风险做出相应的控制和防范措施。
二、保密风险评估的方法保密风险评估的方法多种多样，企业可以根据自身情况选择合适的方法。
下面介绍几种常见的方法：1. 信息收集：通过收集和整理企业的信息，包括数据、系统架构、员工行为等，建立全面的信息数据库。
2. 风险辨识：通过对收集到的信息进行分析和识别，辨识出可能的保密风险，包括潜在的内部威胁和外部威胁。
3. 风险评估：对识别出的风险进行评估，包括风险的概率、影响程度和可控性等方面的评估，以确定最终的风险级别。
4. 风险应对：根据评估结果，制定相应的风险应对措施，包括风险的防范、监测和应急预案等。
三、保密管理制度的具体措施保密管理制度是保证企业信息安全的重要手段，具体包括以下措施：1. 规章制度：制定和完善相关的保密规章制度，包括保密责任、保密协议、保密审计、保密培训等，明确保密的法律法规和内部管理要求。
2. 保密组织架构：建立有效的保密组织架构，明确保密管理的职责和权限，确保保密工作的专业化和高效性。
3. 访问控制：通过建立严格的访问控制机制，对不同等级的保密信息进行合理分级和权限控制，确保信息的合法获取和使用。
4. 技术防护：采用先进的技术手段，包括入侵检测系统、网络安全设备等，对信息进行保护和防范。
保密风险评估与管理
保密风险评估与管理保密风险评估与管理是现代信息安全管理中的重要环节，它涉及到企业和个人的信息安全，对于保护机密信息、防范安全威胁具有重要意义。
本文将从保密风险的概念、评估方法以及管理措施等方面进行探讨。
一、保密风险的概念保密风险是指在信息传输和存储过程中，可能会导致机密信息泄露、被篡改或丢失的潜在威胁。
这些威胁可以来自内部员工、外部黑客、恶意软件等多个方面。
保密风险评估的目的就是为了识别和量化这些潜在威胁，以便采取相应的安全措施。
二、保密风险评估的方法1. 定性评估定性评估是通过分析和判断信息系统中存在的潜在威胁，根据其可能性和影响程度进行分类。
这种方法主要依靠专家的经验和判断，对风险进行主观评估。
虽然定性评估相对简单，但其结果具有一定的主观性和不确定性。
2. 定量评估定量评估是通过对风险的量化分析，利用统计学和数学模型等方法，对风险进行客观评估。
这种方法可以通过数据分析和模拟实验等手段，对风险的可能性和影响程度进行量化，从而得到更准确的评估结果。
定量评估方法相对复杂，需要较多的数据和专业知识支持。
三、保密风险管理的措施1. 安全策略制定企业应该制定一套完善的信息安全策略，明确保密的目标和原则，确保信息安全管理的连续性和一致性。
安全策略应该包括信息分类、权限管理、访问控制、数据备份等方面的规定，以保障机密信息的安全性。
2. 人员培训和意识提升保密风险管理不仅仅是技术层面的问题，更需要员工的积极参与和意识提升。
企业应该定期组织信息安全培训，加强员工对保密风险的认识和理解，提高他们的安全意识和防范能力。
3. 技术措施落地企业应该采取一系列的技术措施来防范保密风险，如加密技术、防火墙、入侵检测系统等。
这些技术措施可以有效地保护机密信息的安全，减少风险的发生。
4. 风险监测和反馈保密风险管理是一个动态的过程，企业应该建立起完善的风险监测和反馈机制。
通过定期的风险评估和安全漏洞扫描，及时发现和修复潜在的安全问题，降低风险的发生概率。
保密风险评估及管理制度
保密风险评估及管理制度保密是企业运营中至关重要的一环，对于企业来说，保密意味着保护核心竞争力、维护客户信任以及保障商业机密的安全。
然而，随着信息技术的不断发展，保密面临的风险也在不断增加。
为了更好地识别、评估和管理保密风险，企业需要建立起保密风险评估及管理制度。
I. 保密风险评估的重要性保密风险评估是企业制定保密策略和措施的基础，对于明确风险发生概率和影响程度、确定有效控制措施具有至关重要的作用。
1. 识别潜在风险：保密风险评估帮助企业识别并了解可能存在的风险，从而提前预警，避免可能的损失。
2. 优化资源配置：通过对各项风险进行评估，企业可以更好地配置资源，优先保护重要信息，提升保密投入的效益。
3. 支持决策制定：保密风险评估为决策制定提供依据，可以更科学地确定保密策略和措施，从而降低风险，提高企业运作的稳定性和可持续性。
II. 保密风险评估的步骤1. 确定评估目标：明确评估的目的和范围，确定需要评估的重要信息和资产，并确定评估的时间和地点。
2. 收集信息：收集与评估相关的信息，包括企业内部的相关政策、规程，以及外部的法律法规、行业标准、案例等。
3. 识别潜在风险：通过风险识别方法，如头脑风暴、问卷调查等，确定可能对保密造成影响的各项因素。
4. 评估风险概率和影响程度：将潜在风险按照其发生概率和影响程度进行评估，确定风险的优先级。
5. 制定应对措施：根据风险评估结果，制定相应应对措施，明确责任人和实施时间，并制定风险应对预案。
6. 监控和修正：建立监控机制，及时收集、反馈保密风险的动态变化情况，根据需求不断修正保密风险评估及管理制度。
III. 保密风险管理制度的重要性保密风险管理制度是保密工作的重要组成部分，通过制度化的管理，可以更好地做好保密工作，确保信息安全。
1. 保护核心竞争力：保密风险管理制度能够保护企业的核心竞争力，防止核心机密信息被泄露，从而确保企业竞争优势的持续性。
2. 提升信任和声誉：通过建立完善的保密风险管理制度，企业可以提升客户和合作伙伴对企业的信任和声誉，加强与外部环境的合作与沟通。
资产评估人员保密管理制度
第一章总则第一条为加强资产评估人员保密管理，确保资产评估机构及其资产评估专业人员对评估活动中知悉的国家秘密、商业秘密和个人隐私予以保密，依据《中华人民共和国保守国家秘密法》、《中华人民共和国合同法》等相关法律法规，制定本制度。
第二条本制度适用于资产评估机构及其资产评估专业人员，包括内部员工、临时工、实习生等。
第三条资产评估人员保密管理应遵循以下原则：1. 遵纪守法原则：严格遵守国家法律法规，确保保密工作合法合规；2. 实用性原则：结合资产评估工作实际，确保保密措施有效；3. 全面性原则：覆盖资产评估过程中的各个环节，确保保密工作全面；4. 保密性原则：对评估活动中知悉的信息严格保密，防止信息泄露。
第二章保密范围第四条资产评估人员应保密以下信息：1. 国家秘密：涉及国家安全和利益的信息；2. 商业秘密：涉及商业秘密、技术秘密、经营秘密等信息；3. 个人隐私：涉及个人身份、财产、健康状况等信息；4. 评估过程中产生的其他需要保密的信息。
第三章保密措施第五条资产评估人员应采取以下保密措施：1. 增强保密意识：通过培训、学习等方式，提高资产评估人员的保密意识；2. 严格信息管理：对保密信息进行分类、分级管理，确保信息安全；3. 限制信息访问：对涉及保密信息的人员进行权限控制，确保信息不外泄；4. 保密协议：与资产评估人员签订保密协议，明确保密义务和责任；5. 保密审查：对涉及保密信息的文件、资料、报告等进行保密审查；6. 安全技术措施：采用加密、访问控制等技术手段，确保信息传输、存储、处理的安全。
第四章违规处理第六条资产评估人员违反保密规定的，按照以下规定处理：1. 警告：对情节较轻的，给予警告；2. 纪律处分：对情节严重的，给予纪律处分；3. 法律责任：对构成犯罪的，依法追究刑事责任。
第五章附则第七条本制度由资产评估机构负责解释。
第八条本制度自发布之日起施行。
资产评估机构及其资产评估专业人员应严格遵守本制度，切实履行保密职责，共同维护资产评估行业的良好形象。
保密风险评估与管理制度
保密风险评估与管理制度保密是现代社会中非常重要的一项工作，对于企业、组织以及个人来说，保护信息的安全与保密是至关重要的。
为了确保保密工作的顺利进行，建立一个有效的保密风险评估与管理制度是必不可少的。
本文将围绕这一主题展开。
一、保密风险评估的重要性保密风险评估是建立保密管理制度的基础，通过对保密工作的风险进行评估，可以及时发现潜在的保密风险并加以控制。
保密风险评估的目的是为了确定保密工作所面临的威胁和风险，并制定相应的对策和措施，以保护机构的利益。
只有全面了解和评估风险，才能有效地制定出相应的保密管理措施。
二、保密风险评估的方法1. 信息分类首先，对所涉及的信息进行分类，将其划分为不同的等级或级别。
根据信息的重要性和敏感程度，可以将其分为三类：高级机密、机密和普通级别。
2. 风险识别在信息分类的基础上，开展风险识别工作。
这意味着要识别保密工作中可能存在的风险和威胁。
可能的风险包括人为因素、技术因素、物理因素等。
3. 风险评估一旦风险被确定，就需要对其进行评估。
评估的目的是确定风险的概率和影响程度，以便对不同风险进行优先级排序。
4. 风险控制最后，针对不同的风险，制定相应的风险控制措施。
这包括技术防护措施、安全培训、保密合同签订等。
确保风险在可控范围内，并及时采取相应的措施进行处理。
三、保密风险管理制度的建立保密风险管理制度是保密工作的重要组成部分。
它通过明确责任、规范操作程序和加强监督，为保密工作提供了有力的支持。
1. 责任划分建立明确的责任体系，明确保密工作的责任人及其职责。
包括保密委员会的成立，明确保密委员、保密负责人等的职责。
2. 操作程序规范制定严格的保密操作程序，确保每个环节都具备严密的控制措施。
明确信息的收集、传输、存储和处理等操作规程，制定明确的审批程序。
3. 监督机制建立健全的监督机制，确保保密工作的有效进行。
实施定期的保密检查、内部审计等，及时发现潜在的问题并采取相应的纠正措施。
保密风险评估及管理制度
保密风险评估及管理制度保密对于企业来说是非常重要的，尤其是在信息化时代，各种敏感信息随处可见。
为了保障企业的商业秘密和客户的隐私，建立一套科学有效的保密风险评估及管理制度是至关重要的。
本文将详细介绍保密风险评估及管理制度的重要性、步骤和措施。
一、保密风险评估及管理制度的重要性保密风险评估及管理制度对于企业的正常运作和发展至关重要。
首先，风险评估可以帮助企业全面了解潜在的保密风险，避免盲目行动和不必要的损失。
其次，建立完善的保密管理制度可以提高企业的保密意识，明确员工的保密责任，减少保密失误的发生。
最后，对于涉及国家安全、客户隐私和商业机密的企业来说，保密风险评估及管理制度更是至关重要的，可以保障国家和企业的核心利益。
二、保密风险评估及管理制度的步骤1. 制定保密政策：企业应当首先明确保密政策，制定保密标准和管理原则。
保密政策应当体现企业的保密理念和价值观，明确保密的重要性和保密责任。
2. 识别保密信息：企业应当对涉及保密的信息进行分类和识别，确定关键信息和敏感信息的范围。
同时，还需要识别信息的来源和去向，以便更好地进行保护和管理。
3. 评估保密风险：在识别信息的基础上，企业需要对各类信息的保密风险进行评估。
评估保密风险时，应考虑信息的重要性、访问权限、存储方式等因素，确定风险程度和可能的损失。
4. 制定管理措施：根据评估结果，企业应制定相应的保密管理措施。
包括加密技术的使用、权限控制、涉密设备的管理等。
同时，还要制定相应的培训计划，提高员工的保密意识和技能。
5. 定期检查和评估：保密工作需要持续进行，企业应定期进行保密检查和评估，确保保密措施的有效性和合规性。
对于发现的问题，要及时采取纠正措施，避免漏洞被利用。
三、保密风险评估及管理制度的措施1. 实施访问控制：企业应明确不同岗位和人员对保密信息的访问权限，建立相应的权限管理制度，确保信息的合理流转和使用。
2. 加强物理保护：针对涉密设备和存储介质，企业应采取物理保护措施，如安装摄像头、门禁系统等，防止未经授权的人员接触。
保密风险评估方案
保密风险评估方案目录一、概述 (3)二、评估依据 (3)三、评估流程 (3)四、评估方法 (3)1.风险级别定义 (3)2.对原有风险点的评估。
(4)3.新风险识别 (4)4.部门评估 (4)5.公司评估 (4)附件1: 参评人员和部门提交文件一览表 (6)附件2: 风险评估表 (7)附件3: 风险评估汇总表 (8)附件4: 风险评估参与人员表 (9)附件5: 风险点列表10一、概述公司作为涉密信息系统集成资质单位, 对保守国家秘密有相应义务并承担重要的责任。
为切实有效地保护国家秘密, 必须事先做好保密风险评估工作, 让保密工作有的放矢。
为了让风险评估达到应有的成果, 并有序进行, 特制定本方案。
二、评估依据《中华人民共和国保守国家秘密法》《中华人民共和国保守国家秘密法实旋条例》《涉密信息系统集成资质单位保密标准》《涉密信息系统集成资质管理办法》公司保密管理制度三、评估流程风险评估包括风险识别、风险分析、风险评价。
具体评估流程如下:1.保密办根据当前已有的风险防控措施和保密管理制度出具风险点列表（见附件<风险点列表>）；2.各部门安排本部门涉密人员对风险点列表进行分析；3.涉密人员将评估结果以电子档递交本部门负责人；4.部门负责人汇总后形成风险评估汇总表, 并打印签字；5.部门负责人将风险评估汇总表纸质文档和电子文档递交保密办；6.保密办汇总后出具风险评估报告。
四、评估方法1.风险级别定义2.对原有风险点的评估。
参加评估的人员对原有风险点的风险等级和防控措施进行评估。
评估风险等级是否准确, 防控措施是否有效。
对识别出的问题, 按修改后的风险等级和建议防控措施填写到风险评估表中。
序号按原风险点序号填写。
3.新风险识别参评人员根据日常工作情况和工作流程识别出的新风险, 在风险评估表中填写识别项目、风险点、风险等级和建议防控措施。
序号不填。
4.部门评估各参评人员把风险评估表以电子档递交到部门负责人。
保密风险评估与管理制度
保密风险评估与管理制度保密风险评估与管理制度是为了确保机构内外部的信息安全，避免信息泄露和非授权访问，采取的一系列措施和规定。
本制度旨在评估和管理保密风险，保障机构的信息安全，确保机构的核心竞争力和商业利益。
一、保密风险评估为了全面了解机构所面临的保密风险，我们需要进行保密风险评估。
评估的目的是确定机构信息的价值和敏感程度，并分析可能导致信息泄露的风险因素。
以下是评估的关键步骤：1. 信息资产分类和价值评估：对机构的信息资产进行分类，并评估其对机构运营、盈利能力和声誉的重要性。
2. 风险识别和定级：识别可能导致信息泄漏的内部和外部威胁，并为每种风险分配风险等级。
3. 威胁分析和潜在影响：分析各种威胁的潜在影响，并确定其可能导致的风险和后果。
4. 风险概率评估：评估每种风险事件发生的概率，并计算其对机构的影响程度。
5. 风险评估报告：根据上述评估结果，编制风险评估报告，明确机构所面临的保密风险和紧急程度。
二、保密风险管理在评估了机构的保密风险后，我们需要采取相应的管理措施来降低风险并确保信息的安全。
以下是保密风险管理的关键步骤：1. 制定保密政策与流程：明确机构的保密要求、政策和流程，并将其纳入机构的日常运营中。
2. 建立保密责任制：确保每位员工理解并履行对信息保密的责任和义务。
3. 实施访问控制：采取技术手段和控制措施，限制对敏感信息的访问和使用。
4. 加强培训与教育：对员工进行保密培训和教育，提高他们的保密意识和能力。
5. 建立监测与检测机制：建立和应用保密追踪、监测和检测技术和工具，及时发现和阻止潜在的信息泄露风险。
6. 建立应急响应机制：制定应急响应计划，及时应对信息泄露等安全事件，并降低其对机构的影响。
7. 定期评估和改进：定期评估保密风险和管理措施的有效性，并对制度进行必要的改进和更新。
三、保密风险管理的重要性保密风险评估与管理制度的建立对于机构的正常运营和发展具有重要意义。
1. 保护核心竞争力：通过评估和管理保密风险，我们能够避免核心竞争力的泄露，保护机构的核心技术、商业机密和市场优势。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
竭诚为您提供优质文档/双击可除保密风险评估管理制度
篇一：涉密信息系统安全风险评估
涉密信息系统安全风险评估的探讨
国家保密技术研究所杜虹
引言
20xx年9月7日中共中央办公厅、国务院办公厅以中办发[20xx]27号文件转发了《国家信息化领导小组关于加强国家信息安全保障工作的意见》。
其中强调了要重视信息安全风险评估工作。
20xx年1月9日国家召开了全国信息安全保障工作会议，黄菊同志在讲话中指出：要开展信息安全风险评估和检查。
根据风险评估的结果，进行相应等级的安全建设和管理，特别是对涉及国家机密的信息系统，要按照党和国家有关保密规定进行保护。
国家高度重视信息安全风险评估工作，并进一步明确了信息安全风险评估在国家信息安全保障工作中的地位和作用。
本文将对信息安全风险评估的基本概念和涉及国家秘密的信息系统（以下简称“涉密信息系
统”主要风险评估的作用、形式、步骤、方法等进行讨论。
一、信息系统安全风险评估的基本概念
信息系统的安全是一个动态的复杂过程，它贯穿于信息系统的整个生命周期。
信息系统安全的威胁来自内部破坏、外部攻击、内外勾结进行的破坏以及信息系统本身所产生的意外事故，必须按照风险管理的思想，对可能的威胁和需要保护的信息资源进行风险分析，选择适当的安全措施，妥善应对可能发生的安全风险。
因此，对信息系统特别是重要的信息系统进行不断的安全风险评估是十分必要的。
1．信息系统安全风险评估的定义
所谓信息系统安全风险评估是指依据国家有关技术标准，对信息系统的完整性、保密性、可靠性等安全保障性能进行科学、公正的综合评估活动。
风险评估是识别系统安全风险并决定风险出现的概率、结果的影响，补充的安全措施缓和这一影响的过程，它是风险管理的一部分。
风险评估是对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能性的评估。
它是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，确定信息资产的风险等级和优先风险控制顺序。
2．信息安全风险评估的基本要素
信息安全风险评估要关注如下基本要素：
使命：一个组织机构通过信息化形成的能力要来进行的
工作任务。
依赖度：一个组织机构的使命对信息系统和信息的依靠程度。
资产：通过信息化建设积累起来的信息系统、信息以及业务流程改造实现的应用服务的成果、人员能力和赢得的信誉。
价值：资产的重要程度。
威胁：对一个组织机构信息资产安全的侵害。
脆弱性：信息资产及其防护措施在安全方面的不足和弱点。
脆弱性也常常被称为弱点或漏洞。
风险：某种威胁利用暴露的系统对组织机构的资产造成损失的潜在可能性。
风险由意外事件发生的概率及发生后可能产生的影响两种指标来衡量。
残余风险：采取了安全保障措施，提高了防护能力后，仍然可能存在的风险。
安全需求：为保证组织机构的使命正常行使，在信息安全保障措施方面提出的要求。
安全保障措施：对付威胁，减少脆弱性，保护资产而采取的预防和限制意外事件的影响，检测、响应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、规程和机制的总称。
这些要素的相互关系如下（图1）所示：使命是资产来支付的。
资产都有价值，信息化的程度越高，组织机构的任
务越重要，对资产的依赖度越高，资产的价值就越大。
资产的价值越大风险越大。
风险是威胁发起的，威胁越大风险越大。
威胁都要利用脆弱性，脆弱性越大风险越大。
脆弱性使资产暴露，威胁利用脆弱性，危害资产，形成风险。
我们对风险的意识，会引出防护需求。
防护需求被防护措施所满足。
防护措施抗击威胁，降低风险。
图1风险评估各种要素的相互关系
通过防护措施对资产加以保护，对脆弱性加以弥补，从而降低了风险；此时威胁只能形成残余风险。
可能有多个防护措施共同起作用，也可能有多个脆弱性被同时利用。
有些脆弱性可能客观存在，但是可能没有对应的威胁。
这可能是由于这个威胁不在机构考虑的范围内，或者这个威胁的影响极小被忽略不计外部威胁和系统脆弱性可能造成损失的潜
在危险。
采取了防护措施能够减低风险，使残余风险限制在能够承受的程度上。
（如图2所示）
图2威胁、资产、脆弱性、风险、保护措施、残余风险的关系
3．信息系统安全风险评估的形式
信息系统安全风险评估从信息系统拥有者的角度来看
可划分为三种形式，即自我评估、委托评估和检查评估。
（1）自我评估
自我评估是指信息系统拥有者指定的本机构信息系统
安全管理人员在信息系统运行维护中使用相应的安全风险评估工具按照一定的规范进行的评估活动。
从信息系统拥有者的角度来看是完全主动的行为，其优点是可方便地进行经常性的评估，及时采取对策降低安全风险，是一种“自查自纠”的方式。
这种方式因为是在一个机构内部进行，因此一般不会引入评估带来的新的风险，缺点是专业性和客观性稍较差。
（2）委托评估
委托评估是信息系统拥有者选择委托具有相应资质的评估单位按照一定的规范对信息系统进行的独立的评估活动。
从信息系统拥有者的角度来看是完全自愿的，并具有一定的选择性。
其优点是专业性、公证性和客观性较强。
需注意的是对于评估可能引入新的风险，要加强控制。
（3）检查评估
检查评估是信息系统拥有者的上级机关或国家赋予信息安全管理职能的机关授权的评估单位根据一定的管理权限和程序，按照一定的规范对信息系统进行的独立的评估活动。
此种评估带有检查的性质，从信息系统拥有者的角度来看具有某种被动性。
其优点是专业性、公证性、客观性较强，一般也不会引入评估带来的新的风险。
当然从不同的角度来看，对信息系统安全风险评估可以有不同的划分形式。
二、涉密信息系统的安全风险评估
1．安全风险评估在涉密信息系统安全保障中的作用
信息系统安全风险评估在信息系统安全保障中具有重
要的作用。
同样，涉密信息系统风险评估在涉密信息系统安全保障中具有重要的作用。
涉密信息系统安全保密管理的全过程如下（图3）所示：
图3涉密信息系统安全保密管理的全过程
篇二：风险评估实施操作规程
风险评估实施操作规程
第一章评估计划及评估方案制定阶段
第一条为保证风险评估的实施质量，降低给评估对象带来的安全风险，安全管理员与评估对象相关的系统管理员、应用管理员等共同制定每个评估项目的详细计划和评估方案。
第二条评估计划至少明确：目的，评估对象，评估内容，工作整体进度安排，资金安排，评估项目组人员安排和相关部门职责分工等。
第三条评估方案至少包括：目的，评估对象，评估所依据的标准，具体评估要点及对应评估方法描述，采用的技术手段，各评估要点实施人员，被评估对象责任人配合要求，工作进度，对评估对象的影响分析及风险规避措施，保密要求等。
第二章评估计划及评估方案审批阶段
第一条为确保评估计划的可行性、评估方案的科学性和安全性，在实施之前，均应报网络与信息安全领导小组办公室审核，审核通过方可开展评估工作。
第二条网络与信息安全领导小组办公室组织信息系统有关应用部门和单位对评估计划和评估方案进行审核。
第三条针对三级及三级以上的对象进行风险评估，需报网络与信息安全领导小组批准。
第三章风险评估实施阶段
第一条在评估计划和评估方案通过审批后，由安全管理员组织评估方与相关系统管理员、应用管理员配合实施安全风险评估方案。
第二条评估过程应有完备的文档记录，至少包括实施经过、原始数据、评估结果等等。
第四章风险评估报告内容
第一条风险评估的目的、被评估对象和评估范围、评估内容。
第二条风险评估的组织形式、标准依据、实施方案、时间安排。
第三条风险评估对象的管理现状、已有安全措施。
第四条被评估对象资产价值、面临的威胁、存在的脆弱点、风险描述及分布。