信息安全风险管理程序
信息安全风险评估与预防管理制度
信息安全风险评估与防备管理制度第一章总则第一条为了加强企业的信息安全管理，保护企业的信息资产安全，规范员工的信息使用行为，订立本制度。
第二条本制度适用于本企业全部员工以及与本企业有合作关系的外部单位和个人。
全部相关人员都应遵守本制度。
如有违反，将承当相应的法律责任和纪律处分。
第三条本制度内容包含信息安全风险评估的目的、原则、流程，以及信息安全防备的管理措施等。
第四条信息安全的范围包含但不限于企业内部的计算机系统、通信网络、数据存储和传输设备，以及与企业合作的外部系统和网络。
第五条信息安全工作应遵从合法、合规、合理、科学的原则进行。
第二章信息安全风险评估第六条信息安全风险评估是指对企业信息系统的各种风险进行识别、评估和分析，以确定风险等级，并订立相应的风险应对措施。
第七条信息安全风险评估的目的是提前预警潜在的信息安全风险，为企业信息安全防备和掌控供应科学依据。
第八条信息安全风险评估的原则包含全面性原则、科学性原则及时性原则、规范性原则。
第九条信息安全风险评估应包含对信息系统的以下方面进行评估：系统网络架构、系统软硬件配置、系统运行环境、系统数据传输与存储等。
第十条信息安全风险评估应由专业的信息安全团队或安全专家进行，其评估报告必需真实、准确、全面、可行。
第十一条评估结果应依据风险等级进行分类，确定相应的风险管理措施和预警措施。
第十二条信息安全风险评估应定期进行，具体的评估频率依据企业情况和风险等级确定。
第十三条信息安全风险评估结果应及时向企业管理人员报告，并订立相应的风险处理方案。
第三章信息安全防备管理措施第十四条为了防备信息安全风险，企业应建立健全的信息安全管理体系，包含组织结构、责任分工、制度规范等。
第十五条企业应订立信息安全管理制度，并通过培训、宣传等方式，提高员工的安全意识和信息安全知识水平。
第十六条企业应建立完善的权限管理制度，实施权限的分级、分级，确保员工的信息访问权限与其工作职责相符。
信息安全管理的风险控制与管理
信息安全管理的风险控制与管理信息安全管理是现代社会中至关重要的一个领域，随着科技的发展，各种网络威胁与安全漏洞也层出不穷。
为了保护个人隐私、企业商业机密以及政府机构的重要信息资产，信息安全管理的风险控制与管理至关重要。
一、风险评估与识别信息安全管理的第一步是对风险进行评估与识别。
通过对信息系统的全面分析，确定威胁和漏洞的存在以及可能带来的潜在损害。
风险评估与识别包括采集信息、分析数据、辨识风险和建立评估模型等过程。
只有全面了解自身的信息系统和潜在威胁，才能为后续的风险控制和管理做出准确的决策。
二、风险评估与控制基于风险评估结果，进行风险控制是信息安全管理的核心任务之一。
风险控制的目标是降低风险的概率和影响程度，以最小的代价达到信息安全的目标。
在风险控制方面，可以采取技术手段和管理手段相结合的方式。
技术手段包括网络防火墙、入侵检测系统、加密技术等，而管理手段则包括制定安全策略、建立信息安全管理体系、定期进行安全培训等。
三、风险管理与应急预案风险管理是信息安全管理的重要环节。
风险管理包括对已识别的风险进行分析、评估和处理，建立相应的风险管理控制措施，并及时更新和完善。
同时，应急预案也是风险管理中的重要内容。
应急预案是为了应对危机事件和突发情况，在保障信息安全的前提下，最大限度地减少损失和影响。
应急预案需要在风险评估的基础上制定，并定期演练和更新。
四、监控与审计信息安全管理需要定期进行监控与审计，以确保控制措施的有效性和及时发现潜在风险。
监控应包括对信息系统、网络活动、安全策略执行情况等方面的检测，以发现异常行为和安全漏洞。
审计则是对信息安全管理系统的全面评估，确认其与安全要求的符合程度，并提出改进建议。
监控与审计的结果为风险管理提供了重要的参考依据。
五、人员意识与教育信息安全管理的成败离不开人员的意识和教育。
员工作为信息安全管理的一部分，需要具备信息安全意识，并按照相关规定落实安全管理责任。
教育培训是加强人员安全意识的重要手段，通过培训可以提高员工的信息安全意识，增强信息安全技能和知识，从而为信息安全管理提供坚实的基础。
信息安全的风险管理
信息安全的风险管理在当今数字化的时代，信息如同黄金般珍贵。
从个人的隐私数据到企业的商业机密，从政府的敏感信息到社会的关键基础设施，信息的安全与否直接关系到个人的权益、企业的生存、国家的稳定。
然而，信息安全并非是一个静态的状态，而是一个动态的过程，其中风险管理起着至关重要的作用。
信息安全风险，简单来说，就是由于各种不确定性因素导致信息资产受到损害的可能性。
这些不确定性因素可能来自内部，比如员工的疏忽、误操作、恶意行为；也可能来自外部，比如黑客攻击、网络病毒、竞争对手的窥探等。
而风险管理就是对这些可能出现的风险进行识别、评估、应对和监控的一系列活动。
首先，风险识别是信息安全风险管理的第一步。
这就像是医生诊断病情一样，需要找出潜在的“病因”。
在信息安全领域，我们要通过各种手段，如安全审计、漏洞扫描、威胁情报分析等，来发现可能存在的风险点。
比如，企业的网络系统是否存在未及时更新的软件补丁，员工是否经常使用弱密码，是否有外部人员能够轻易地访问到企业的内部网络等。
这些看似细微的问题，都可能成为信息安全的隐患。
在完成风险识别后，接下来就是风险评估。
这一步需要对识别出的风险进行量化和定性分析，以确定其可能性和影响程度。
比如说，某个漏洞被黑客利用的概率有多大，一旦被利用，可能会造成多大的经济损失、声誉损害等。
通过风险评估，我们可以对不同的风险进行排序，明确哪些是需要优先处理的高风险问题，哪些是可以暂时搁置的低风险问题。
有了风险评估的结果，就可以制定相应的风险应对策略。
应对策略通常包括风险规避、风险降低、风险转移和风险接受四种。
风险规避就是彻底避免某项活动或行为，以消除风险。
比如，如果某个业务流程存在极高的信息安全风险，且无法通过其他方式解决，那么企业可能会选择放弃这个业务流程。
风险降低则是采取措施来减少风险发生的可能性或降低风险的影响程度。
例如，加强员工的安全培训、安装防火墙和杀毒软件、定期备份数据等。
风险转移是将风险的责任或后果转移给第三方，常见的方式如购买保险。
ISO27001信息安全管理体系全套程序文件
修订日期：2019.12.18修订日期：2019.12.18信息安全风险评估管理程序1 适用本程序适用于本公司信息安全管理体系（ISMS）范围内信息安全风险评估活动。
2 目的本程序规定了本公司所采用的信息安全风险评估方法。
通过识别信息资产、风险等级评估，认知本公司的信息安全风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持本公司业务持续性发展，以满足本公司信息安全管理方针的要求。
3 范围本程序适用于第一次完整的风险评估和定期的再评估。
在辨识资产时，本着尽量细化的原则进行，但在评估时我司又会把资产按照系统进行规划。
辨识与评估的重点是信息资产，不区分物理资产、软件和硬件。
4 职责4.1 成立风险评估小组办公室负责牵头成立风险评估小组。
4.2 策划与实施风险评估小组每年至少一次，或当体系、组织、业务、技术、环境等影响企业的重大事项发生变更、重大事故事件发生后，负责编制信息安全风险评估计划，确认评估结果，形成《信息安全风险评估报告》。
4.3 信息资产识别与风险评估活动各部门负责本部门使用或管理的信息资产的识别，并负责本部门所涉及的信息资产的具体安全控制工作。
4.3.1 各部门负责人负责本部门的信息资产识别。
4.3.2 办公室经理负责汇总、校对全公司的信息资产。
修订日期：2019.12.184.3.3 办公室负责风险评估的策划。
4.3.4 信息安全小组负责进行第一次评估与定期的再评估。
5 程序5.1 风险评估前准备5.1.1 办公室牵头成立风险评估小组，小组成员至少应该包含：信息安全管理体系负责部门的成员、信息安全重要责任部门的成员。
5.1.2风险评估小组制定信息安全风险评估计划，下发各部门内审员。
5.1.3必要时应对各部门内审员进行风险评估相关知识和表格填写的培训。
5.2 信息资产的识别5.2.1 本公司的资产范围包括：5.2.1.1信息资产1)数据文档资产：客户和公司数据，各种介质的信息文件包括纸质文件。
信息安全风险管理实施指南
信息安全风险管理实施指南1. 什么是信息安全风险管理？好吧，咱们先来聊聊，什么叫信息安全风险管理。
想象一下，你家的大门没锁，外面有个小偷盯上了你珍贵的家当，那你肯定心里发毛，是吧？信息安全风险管理也是这么回事，它就是帮助我们找出潜在的威胁，保护我们的“宝贝”——那些重要的信息和数据。
毕竟，在这个数字化的时代，信息就像是水和空气，没有了就麻烦大了。
要是数据丢了，咱们的工作、生活，甚至是未来的计划都可能泡汤。
所以，学会怎么管好这些风险，是每个人都该掌握的“生存技能”。
1.1 风险识别首先，我们得搞清楚有哪些风险在潜伏。
就像你去市场买菜，总得先看看哪些菜新鲜，哪些菜快坏了，对吧？在信息安全的世界里，这个过程就叫做风险识别。
我们需要找出那些可能会对信息造成损害的因素，比如黑客攻击、恶意软件、数据泄露等等。
这里面的道道可多了，就像电视剧的剧情一样，千变万化。
但只要我们细心观察，总能发现蛛丝马迹，提前预警。
1.2 风险评估接下来是风险评估，这就像是在给你的菜打分。
我们得看看这些风险有多严重，会不会对我们的信息造成大损失。
评估的过程其实挺简单的，咱们可以考虑一下这些风险发生的概率，以及它们可能带来的后果。
比如说，黑客攻击的可能性高，但也许损失并不是特别严重；而数据泄露的概率较低，但一旦发生，损失就可能不堪设想。
把这些风险统统列出来，就能对它们进行一个合理的排名，心里有个底儿。
2. 风险控制说完了识别和评估，咱们得进入控制阶段，别让风险肆无忌惮地来捣乱。
风险控制就像是给你的门上个好锁，不让小偷进来。
这里面有好几种方法，咱们可以采取不同的措施来降低风险，比如加强网络安全、定期更新系统、备份数据等等。
想象一下，你的电脑像个铁桶，越厚越难被攻破，心里不就更踏实了吗？2.1 技术措施技术措施是控制风险的重要手段。
比如，咱们可以用防火墙、杀毒软件来抵挡那些潜在的攻击，像是给电脑穿上“盔甲”。
而且，别忘了定期更新这些软件，老旧的防护措施就像是破网，根本挡不住小鱼小虾。
信息安全风险评估与应对管理制度
信息安全风险评估与应对管理制度第一章总则第一条目的和依据为了保护企业的信息资产安全，防范信息安全风险，提高企业信息安全管理水平，订立本制度。
本制度依据企业信息安全管理的相关法律法规、国家标准、行业规范以及企业内部相关规定等依据。
第二条适用范围本制度适用于企业内部全部员工、外包人员及合作伙伴。
第二章信息安全风险评估第三条定义1.信息安全风险评估：指对企业的信息系统及信息资产进行识别、评估、排序和管理的过程，以确定信息安全的风险程度。
2.信息系统和信息资产：指企业所拥有和使用的全部涉及信息的计算机系统、网络设备、软件、数据文件及其他信息资料。
3.风险等级：依据信息安全风险评估结果，对风险进行分级，以引导后续的风险应对措施的订立。
第四条信息安全风险评估流程1.信息安全风险评估包含以下步骤：–确定评估范围：确定评估的信息系统、信息资产范围，包含涉及的硬件、软件、数据和人员等要素。
–识别信息安全风险：对所评估的信息系统、信息资产进行全面、系统地识别信息安全威逼，包含内部和外部威逼等。
–评估风险等级：依据信息安全风险的可能性和影响程度，对风险进行评估，划分风险等级。
–订立风险应对措施：依据风险等级，提出相应的风险应对措施，包含风险防范、事故应急预案等。
–定期更新评估：定期对信息安全风险进行评估更新，确保评估的准确性和有效性。
2.信息安全风险评估应由企业内部的信息安全团队或专业的安全机构进行，必需时可以委托外部专业机构参加。
第五条信息安全风险评估要素1.影响因素：包含信息系统和信息资产的紧要性、敏感性、可用性、完整性和机密性等。
2.威逼因素：包含自然祸害、恶意攻击、人为疏忽等。
3.风险评估方法：可采用定性评估和定量评估相结合的方式，利用各种风险评估模型和方法进行评估分析。
第三章信息安全风险应对管理第六条风险防范措施1.基础设施保护：加强对信息系统和信息资产的物理和逻辑安全措施，包含设备的安全管理、网络隔离、数据备份等。
IT部门信息安全管理流程
IT部门信息安全管理流程信息安全是现代企业发展中至关重要的一环，在IT部门中尤为突出。
为了确保企业的信息资产安全，IT部门需要建立和执行一套完整的信息安全管理流程。
本文将介绍IT部门信息安全管理流程的主要步骤和内容，以及如何保证信息安全的有效性。
1. 信息安全策略制定信息安全策略是信息安全管理的基础，IT部门需要制定和更新信息安全策略，明确安全目标、风险评估和资源分配。
在制定信息安全策略时，需要考虑企业的业务需求、法律法规的要求，以及技术和经济的可行性。
2. 风险评估与管理针对企业的信息系统和数据资产，IT部门需要进行全面的风险评估，并制定相应的风险管理措施。
风险评估包括对信息系统漏洞、恶意软件和未授权访问等方面的评估，根据评估结果，制定并执行相应的风险管理计划。
3. 安全意识培训IT部门需要定期组织安全意识培训，提高员工对信息安全的认识和重视程度。
安全意识培训内容可以包括密码管理、网络钓鱼攻击的识别、安全使用移动设备等，通过培训使员工充分了解信息安全的相关知识，并能够主动采取相应的安全措施。
4. 访问控制访问控制是信息安全管理中的重要环节，IT部门需要建立并维护一个严格的访问控制机制，包括用户身份验证、权限管理和审计跟踪等。
通过合理的访问控制，可以有效地保护企业的信息系统和数据资产不受未授权访问和滥用。
5. 漏洞管理与修复IT部门需要建立漏洞管理制度，定期对系统进行漏洞扫描和安全漏洞修复，确保系统的漏洞得到及时修复，降低被攻击的风险。
此外，IT部门还应跟踪并及时应对新的安全漏洞和威胁，确保系统始终处于一个相对安全的状态。
6. 事件响应与处理在信息安全管理过程中，不可避免地会出现安全事件和事故。
IT部门需要建立一个完善的事件响应与处理机制，通过合理的事件响应流程，及时发现和处置安全事件，并采取相应的措施防止事态恶化。
7. 安全审核与监控IT部门应定期进行安全审核和监控，审查信息系统和数据的安全性，发现潜在的安全隐患，并指导系统修复和加固工作。
信息安全与风险评估管理制度
信息安全与风险评估管理制度第一章总则第一条目的与依据为了确保企业的信息安全，保障企业各类信息的机密性、完整性和可用性，防范和降低信息安全风险，订立本制度。
本制度依据相关法律法规、国家标准和企业实际情况订立。
第二条适用范围本制度适用于企业全体员工，包含本公司全部部门和分支机构。
第三条定义1.信息安全：指信息系统及其相关技术和设施，以及利用这些技术和设施处理、存储、传输和管理的信息，免受未经授权的损害、访问、泄露、干扰、破坏或滥用的状态。
2.信息系统：指由硬件、软件、网络等构成的用于收集、处理、存储、传输和管理信息的系统。
3.信息资产：指有价值的信息及其关联的设备、媒介、系统和网络。
第四条职责1.企业管理负责人应确立信息安全的紧要性，订立信息安全战略，并供应必需的资源支持。
2.相关部门负责人应依据本制度订立相关的细则与操作规范，并监督执行情况。
3.全体员工应遵守信息安全制度，妥当处理信息资产，乐观参加信息安全风险评估活动。
第二章信息安全掌控要求第五条信息资产分类与保护等级评定1.信息资产应依据其紧要性和保密性对其进行分类，并评定相应的保护等级。
2.不同保护等级的信息资产应依照相应等级的掌控要求进行处理和保护。
第六条访问掌控要求1.针对不同角色的员工，应订立相应的访问权限规定，确保信息资产的合理访问。
2.离职、调离或调岗的员工应及时撤销其相应的访问权限。
第七条安全配置要求1.企业信息系统应依照安全配置要求进行设置，包含操作系统、数据库、应用程序等软硬件的安全配置。
2.对于紧要系统和关键设备，应定期进行安全配置检查和更新。
第八条密码安全要求1.强制要求员工使用安全性高的密码，并定期更换密码。
2.禁止员工将密码以明文形式存储或透露给他人。
第九条网络安全要求1.网络设备和传输设备应定期维护，确保其正常运行和安全使用。
2.网络应用程序应遵从安全开发规范，定期对其进行漏洞扫描和修复。
第十条数据备份和恢复要求1.紧要数据应定期备份，并存储在安全可靠的地方。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
XXXXXXXXXXX有限公司信息安全风险管理程序
[EBELTER-B-01]
V1.0
变更履历
1 目的
为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平，特制定本程序。
2 范围
本程序适用信息安全管理体系(ISMS)范围内信息安全风险评估活动的管理。
3 职责
3.1 安全信息小组
负责牵头成立风险评估小组。
3.2 风险评估小组
负责编制《信息安全风险评估计划》，确认评估结果，形成《信息安全风险评估报告》。
3.3 各部门
负责本部门使用或管理的资产的识别和风险评估，并负责本部门所涉及的资产的具体安全控制工作。
4 相关文件
《信息安全管理手册》
《商业秘密管理程序》
5 程序
5.1 风险评估前准备
5.1.1 成立风险评估小组
安全信息小组牵头成立风险评估小组，小组成员应包含信息安全重要责任部门的成员。
5.1.2 制定计划
风险评估小组制定《信息安全风险评估计划》,下发各部门。
5.2 资产赋值
5.2.1 部门赋值
各部门风险评估小组成员识别本部门资产，并进行资产赋值。
5.2.2 赋值计算
资产赋值的过程是对资产在保密性、完整性、可用性和法律法规合同上的达成程度进行分析，并在此基础上得出综合结果的过程。
5.2.3 保密性(C)赋值
根据资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在保密性上的应达成的不同程度或者保密性缺失时对整个组织的影响。
保密性分类赋值方法
5.2.4 完整性(I)赋值
根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。
完整性(I)赋值的方法
5.2.5 可用性(A)赋值
根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
可用性(A)赋值的方法
5.2.6 法规合同符合性(L)赋值
根据资产在法律、法规、合同协议符合性上的不同要求，将其分为五个不同的等级，分别对应资产在符合法律、法律、上级规定、合同协议的不同程度。
5.2.7 导出资产清单
本标准中，为与上述安全属性的赋值相对应，根据最终赋值将资产划分为五级，级别越高表示资产越重要，并以此形成《重要信息资产清单》。
下表中的资产等级划分表明了不同等级的重要性的综合描述。
评估者可根据资产赋值结果，确定重要资产的范围，并主要围绕重要资产进行下一步的风险评估。
资产价值=C*I*A*L
资产等级及含义描述
资产价值等级划分
5.3 判定重要资产
按照资产赋值的结果，经过相乘法得出重要性值，从而得出重要性等级，资产重要性划分为5级，级别越高表示资产重要性程度越高。
重要性等级为3,4和5的为重要资产。
重要性等级说明
5.3.3 审核确认
风险评估小组对各部门资产识别情况进行审核，确保没有遗漏重要资产，导出《重要资产清单》，报总经理确认。
5.4 重要资产风险评估
5.4.1 要求
应对所有的重要资产进行风险评估，评估应考虑威胁、脆弱性、威胁事件发生的可能性和威胁事件发生后对资产造成的影响程度及已经采取的措施等方面因素。
5.4.2 识别威胁
威胁是对组织及其资产构成潜在破坏的可能性因素，造成威胁的因素可分为人为因素和环境因素。
威胁作用形式可以是对信息系统直接或间接的攻击，例如非授权的泄露、篡改、删除等，在保密性、完整性或可用性等方面造成损害；也可能是偶发的、或蓄意的事件。
威胁可基于表现形式分类。
例如可分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、网络攻击、黑客攻击技术、物理攻击、泄密信息、篡改、抵赖等。
各部门根据资产本身所处的环境条件，识别每个资产所面临的威胁。
5.4.3 识别脆弱性
脆弱性是对一个或多个资产弱点的总称。
脆弱性是资产本身存在的，如果没有相应的威胁发生，单纯的脆弱性本身不会对资产造成损害。
而且如果系统足够强健，再严重的威胁也不会导致安全事件，并造成损失。
即，威胁总是要利用资产的弱点才可能造成危害。
资产的脆弱性具有隐蔽性，有些弱点只有在一定条件和环境下才能显现，这是脆弱性识别中最为困难的部分。
需要注意的是，不正确的、起不到应有作用的或没有正确实施的安全措施本身就可能是一个脆弱性。
脆弱性识别将针对每一项需要保护的资产，找出可能被威胁利用的脆弱性，并对脆弱性的严重程度进行评估。
脆弱性识别时的数据应来自于资产的所有者、使用者，以及相关业务领域的专家和软硬件方面的专业人员。
脆弱性识别主要从技术和管理两个方面进行，技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。
管理脆弱性又可分为技术管理和组织管理两方面，前者与具体技术活动相关，后者与管理环境相关。
5.4.4 识别威胁发生的可能性
分析威胁发生频率
5.4.5 已有安全措施的确认
应对已采取的安全措施的有效性进行确认，对有效的安全措施继续保持，以避免不必要的工作和费用，防止安全措施的重复实施。
对于确认为不适当的安全措施应核实是否应被取消，或者用更合适的安全措施替代。
安全措施可以分为预防性安全措施和保护性安全措施两种。
预防性安全措施可以降低威胁利用脆弱性导致安全事件发生的可能性，如入侵检测系统；保护性安全措施可以减少因安全事件发生对信息系统造成的影响，如业务持续性计划。
已有安全措施的确认与脆弱性识别存在一定的联系。
一般来说，安全措施的使用将减少脆弱性，但安全措施的确认并不需要与脆弱性识别过程那样具体到每个资产、组件的弱点，而是一类具体措施的集合。
已有安全措施一般会通过控制资产的威胁和脆弱性降低资产的固有风险，因此需要对威胁程度和脆弱性进行打分。
5.5 风险计算
5.5.1 计算方法
根据威胁发生频率和脆弱性被利用率及资产重要程度，通过相乘法得出风险值。
5.5.2 风险等级
5.6 不可接受风险的确定
根据风险等级，等级为3，4，5的为高风险，为不可接受的风险。
导出《信息安全风险评估表》，报总经理批准。
5.7 风险处理
对风险应进行处理。
对可接受风险，可保持已有的安全措施；如果是不可接受风险（高风险），则需要采取安全措施以降低、控制风险。
对不可接受风险，应采取新的风险处理的措施，规定风险处理方式、责任部门和时间进度，高风险应得到优先的考虑。
5.7.3 计划
导出《风险处理计划》。
5.7.4 报告
风险评估小组导出《信息安全风险评估报告》,陈述信息安全管理现状，分析存在的信息安全风险，提出信息安全管理（控制）的建议与措施，提交安全信息小组进行审核。
5.7.5 审核
安全信息小组考虑成本与风险的关系，对《信息安全风险评估报告》及《风险处理计划》的相关内容审核，对认为不合适的控制或风险处理方式等提出说明，由风险评估小组协同相关部门重新考虑安全信息小组的意见，选择其他的控制或风险处理方式，并重新提交安全信息小组审核，由行政部批准实施。
5.7.6 实施
各责任部门按照批准后的《风险处理计划》的要求采取有效安全控制措施，确保所采取的控制措施是有效的。
5.8 剩余风险评估
5.8.1 再评估
对采取安全措施处理后的风险，安全信息小组应进行再评估，以判断实施安全措施后的残余风险是否已经降低到可接受的水平。
5.8.2 再处理
某些风险可能在选择了适当的安全措施后仍处于不可接受的风险范围内，应考虑是否接受此风险或进一步增加相应的安全措施。
5.8.3 审核批准
剩余风险评估完成后，导出《剩余风险评估报告》，报夏祯审核、最高管理者批准。
5.9 信息安全风险的连续评估
5.9.1 定期评估
安全信息小组每年应组织对信息安全风险重新评估一次，以适应信息资产的变化，确定是否存在新的威胁或脆弱性及是否需要增加新的控制措施。
5.9.2 非定期评估
当企业发生以下情况时需及时进行风险评估：
a)当发生重大信息安全事故时；
信息安全风险管理程序
b)当信息网络系统发生重大更改时；
c)安全信息小组确定有必要时。
5.9.3 更新资产
各部门对新增加、转移的或授权销毁的资产应及时更新资产清单。
5.9.4 调整控制措施
安全信息小组应分析信息资产的风险变化情况，以便根据企业的资金和技术，确定、增加或调整适当的信息安全控制措施。
6 记录
《信息安全风险评估计划》
《资产清单》（含《重要资产清单》）
《信息安全风险评估表》（含《风险处理计划》）
《信息安全风险评估报告》
《剩余风险评估报告》
9。