我國已經制定完成信息安全風險評估的國家標準—《信息安全風險評估指南》。
經過二年多的努力,我國信息安全風險評估國家標準《信息安全風險評估指南》已完成標準文稿編制工作,并由國務院信息辦組織, 2005年在北京、上海、黑龍江、云南、人民銀行、國家稅務總局、國家信息中心與國家電力總公司開展了驗證《信息安全風險評估指南》的可行性與可用性的試點工作,如今,《指南》正上報國家標準管理部門批準。
《指南》規定了信息安全風險評估的工作流程、評估內容、評估方法和風險判斷準則,適用于信息系統的使用單位進行自我風險評估,以及風險評估機構對信息系統進行獨立的風險評估。
《信息安全風險評估指南》分為兩個部分:第一部分:主體部分。主要介紹風險評估的定義、風險評估的模型以及風險評估的實施過程。第二部分:附錄部分。包括信息安全風險評估的方法、工具介紹和實施案例。目的是使用戶了解到風險評估方法的多樣性和靈活性。
2005年12月16日,國家網絡與信息安全協調小組正式通過了《關于開展信息安全風險評估的若干意見》,標志著我國將開始在全國范圍內推進信息安全風險評估工作。今年3月,國家計劃在重要基礎信息網絡和重要信息系統開始推行信息安全風險評估工作。
《指南》實施后,開展信息安全風險評估有了依據。另外,可隨時掌握系統的安全狀態,為及時采取有針對性的應對措施提供依據。《指南》對被評估系統的資產、威脅和脆弱性給出了具體的定級依據。最后,可提高信息安全管理工作水平。幫助系統管理者認清信息安全環境、信息安全狀況,有助于達成共識,明確責任,采取或完善安全保障措施,使其更加經濟有效,并使信息安全策略保持一致性和持續性。
當前,國家關鍵基礎設施對信息系統的依賴性,以及信息系統間的互依賴性越來越強,信息資源越來越復雜,因此,許多重要信息網絡和重要信息系統單位對進行信息安全風險評估的需求越來越迫切,一些大的應用行業在考慮信息系統建設的布局時,已經在信息安全評估、咨詢和規劃方面投入了實質性的資金支持。全國范圍內的大規模推廣將使市場需求大幅提升。
在信息安全風險評估過程中,要評估的部門會委托一些具有一定資質的信息安全風險評估公司來做除最核心部分以外的信息安全風險評估工作。在這方面專業的信息安全公司都會擔當信息安全風險評估的重要角色。