信息安全、网络安全和隐私保护——信息安全控制风险识别操作指导手册（雷泽佳编制2024A0）.pdfVIP

信息安全、网络安全和隐私保护——信息安全控制风险清单

信息安全、网络安全和隐私保护——信息安全控制风险识别操作指导手册

（雷泽佳编制，2024A0）

目录

信息安全、网络安全和隐私保护——信息安全控制风险清单2

附件A：信息资产识别通用清单-系统组件和单元资产识别表91

附件B-1：信息安全技术-网络安全事件分类清单93

附件B-2：信息安全技术-网络攻击分类和网络攻击事件判定清单97

附件C：信息安全技术-网络安全漏洞分类清单101

附件D：信息安全典型风险（威胁）清单【类别、描述、后果及控制措施示例】104

附件E：信息安全典型脆弱性清单——脆弱性示例、涵义、事件类别、后果和安全控制措施130

附件F：“基于资产的方法”网络安全事件风险分类清单165

附件G：基于网络安全事件分析方法网络安全事件风险分类清单192

雷泽佳编制2024A01

信息安全、网络安全和隐私保护——信息安全控制风险清单

信息安全、网络安全和隐私保护——信息安全控制风险清单

（基于ISO∕IEC27002-2022《信息安全、网络安全和隐私保护——信息安全控制》编制）

一级二级信息安全控制

风险源威胁描述脆弱性描述潜在安全事件类别对实现信息安全目标的影响

要素要素内容与要求

缺乏统一的信息安全指导原则，导致策略执管理层对信息安全的认识不足，未能明确可能导致数据泄露、系统瘫痪等严重事

信息安全方针不明确策略执行失效、安全事故频发

行混乱安全目标和要求件，损害组织的声誉和利益

未能针对特定风险领域（如云计算、移动设对新技术和新威胁的评估不足，未能及时增加特定领域遭受攻击或数据泄露的风

应规定信息安全特定主题策略缺失特定领域的安全事故频繁发生

备）制定详细策略制定相应的安全控制措施险，影响业务正常运行

方针（即最高级策

策略文档不完善、未及时更新、缺乏具体可能导致人员操作不当，增加安全事件发

略）和特定主题策策略不明确特定主题的信息安全策略不清晰或存在歧义违反安全规定、操作失误