犐犆犛３５．０４０

犔８０

中華人民共和國國家標準化指導性技術文件

犌犅／犣２４３６４—２００９

信息安全技術

信息安全風險管理指南

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犌狌犻犱犲犾犻狀犲狊犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狉犻狊犽犿犪狀犪犵犲犿犲狀狋

２００９０９３０發布２００９１２０１實施

中華人民共和國國家質量監督檢驗檢疫總局

發布

中國國家標準化管理委員會

書

犌犅／犣２４３６４—２００９

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４信息安全風險管理概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１信息安全風險管理的范圍和對象!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２信息安全風險管理的內容和過程!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．３信息安全風險管理與信息系統生命周期和信息安全目標的關系!!!!!!!!!!!!!３

４．４信息安全風險管理相關人員的角色和責任!!!!!!!!!!!!!!!!!!!!!!４

５背景建立!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１背景建立概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２背景建立過程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．３背景建立文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６風險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．１風險評估概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．２風險評估過程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．３風險評估文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７風險處理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．１風險處理概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２風險處理過程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

７．３風險處理文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８批準監督!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．１批準監督概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．２批準監督過程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．３批準監督文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

９監控審查!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

９．１監控審查概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

９．２監控審查過程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

９．３監控審查文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

１０溝通咨詢!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

１０．１溝通咨詢概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

１０．２溝通咨詢過程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

１０．３溝通咨詢文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

１１信息系統規劃階段的信息安全風險管理!!!!!!!!!!!!!!!!!!!!!!!２７

１１．１安全目標和安全需求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

１１．２風險管理的過程與活動!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

１２信息系統設計階段的信息安全風險管理!!!!!!!!!!!!!!!!!!!!!!!２９

Ⅰ

書

犌犅／犣２４３６４—２００９

１２．１安全目標和安全需求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

１２．２風險管理的過程與活動!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

１３信息系統實施階段的信息安全風險管理!!!!!!!!!!!!!!!!!!!!!!!３１

１３．１安全目標和安全需求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

１３．２風險管理的過程與活動!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

１４信息系統運行維護階段的信息安全風險管理!!!!!!!!!!!!!!!!!!!!!３２

１４．１安全目標和安全需求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３２

１４．２風險管理的過程與活動!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

１５信息系統廢棄階段的信息安全風險管理!!!!!!!!!!!!!!!!!!!!!!!３４

１５．１安全目標和安全需求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

１５．２風險管理的過程與活動!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

附錄Ａ（資料性附錄）風險處理參考模型及其需求和措施!!!!!!!!!!!!!!!!!３６

Ａ．１風險處理參考模型!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

Ａ．２風險處理的需求和措施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

Ⅱ

犌犅／犣２４３６４—２００９

前言

本指導性技術文件的附錄Ａ為資料性附錄。

本指導性技術文件由全國信息安全標準化技術委員會提出并歸口。

本指導性技術文件起草單位：國家信息中心信息安全研究與服務中心、中國電信股份有限公司北京

研究院。

本指導性技術文件主要起草人：吳亞非、張鑒、范紅、劉蓓、趙陽。

Ⅲ

犌犅／犣２４３６４—２００９

引言

一個機構要利用其擁有的資源來完成其使命。在信息時代，信息成為第一戰略資源，更是起著至關

重要的作用。因此，信息資產的安全是關系到該機構能否完成其使命的大事。資產與風險是天生的一

對矛盾，資產價值越高，面臨的風險就越大。信息資產有著與傳統資產不同的特性，面臨著新型風險。

信息安全風險管理的目的就是要緩解并平衡這一對矛盾，將風險控制到可接受的程度，保護信息及其相

關資產，最終保證機構能夠完成其使命。

信息安全風險管理是信息安全保障工作中的一項基礎性工作，主要表現在以下幾方面：

信息安全風險管理的思想和措施應體現在信息安全保障體系的技術、組織和管理等全方位。由于

在信息安全保障體系的技術、組織和管理等方面都存在著相關風險，因此，在信息安全保障體系中，技

術、組織、管理中均應引入風險管理的思想，準確地評估風險并合理地處理風險，共同實現信息安全保障

的目標。

信息安全風險管理的思想和措施應貫穿于信息系統生命周期的全部過程。信息系統生命周期包括

規劃、設計、實施、運維和廢棄五個階段。每個階段都存在著相關風險，同樣需要采用信息安全風險管理

的思想加以應對，采用風險管理的措施加以控制。

信息安全風險管理的思想和措施是貫徹信息安全等級保護制度的有力支撐。信息安全風險管理依

據信息安全等級保護的思想和原則，區分主次，平衡成本與效益，合理部署和利用信息安全的保護機制、

信任體系、監控體系和應急處理等重要的基礎設施，選擇并確定合適的安全控制措施，從而保證機構具

有完成其使命所需要的信息安全保障能力。

為落實國家加強信息安全保障工作的要求，為實施信息安全等級保護制度的需要，制定本指導性技

術文件。本指導性技術文件可與ＧＢ／Ｔ２０９８４結合使用，并可作為機構建立信息安全管理體系（ＩＳＭＳ）

的參考。

本指導性技術文件參考了ＩＳＯ／ＩＥＣ２７００５等國際信息安全風險管理的相關標準，并經過國家有關

行業和地區的試點驗證。標準針對信息安全風險管理所涉及的背景建立、風險評估、風險處理、批準監

督、監控審查、溝通咨詢等不同過程進行了綜合性描述，對信息安全風險管理在信息系統生命周期各階

段的應用作了系統闡述。

本指導性技術文件條款中所指的“風險管理”，其含義均為“信息安全風險管理”。

本指導性技術文件中列出的帶書名號的文檔是示范性的，其格式和詳細內容未作規范。

Ⅳ

犌犅／犣２４３６４—２００９

信息安全技術