信息安全、网络安全和隐私保护——信息安全控制风险清单（雷泽佳编制2024A0）.docxVIP

信息安全、网络安全和隐私保护——信息安全控制风险清单

PAGE1

PAGE1

信息安全、网络安全和隐私保护——信息安全控制风险清单

（基于ISO∕IEC27002-2022《信息安全、网络安全和隐私保护——信息安全控制》编制）

一级要素

二级

要素

信息安全控制

内容与要求

风险源

威胁描述

脆弱性描述

潜在安全事件类别

对实现信息安全目标的影响

5组织控制

5.1信息安全策略

应规定信息安全方针（即最高级策略）和特定主题策略，由管理层批准，发布

信息安全方针不明确

缺乏统一的信息安全指导原则，导致策略执行混乱

管理层对信息安全的认识不足，未能明确安全目标和要求

策略执行失效、安全事故频发

可能导致数据泄露、系统瘫痪等严重事件，损害组织的声誉和利益

特定主题策略缺失

未能针对特定风险领域（如云计算、移动设备）制定详细策略

对新技术和新威胁的评估不足，未能及时制定相应的安全控制措施

特定领域的安全事故频繁发生

增加特定领域遭受攻击或数据泄露的风险，影响业务正常运行

策略不明确

特定主题的信息安全策略不清晰或存在歧义

策略文档不完善、未及时更新、缺乏具体指导

违反安全规定、操作失误

可能导致人员操作不当，增加安全事件发生的可能性

管理层批准流程不严谨

策略未经充分审查、测试和评估即获得批准

管理层对策略内容的理解不足，审批流程存在漏洞或疏忽

不安全或无效的策略被实施，导致安全事故

可能导致安全事故频发，增加组织的财务和声誉损失

发布流程不安全

敏感信息在策略发布过程中泄露或被篡改

缺乏安全的发布渠道和验证机制，未能确保策略内容的完整性和机密性

策略内容被未授权访问、恶意修改或泄露

损害信息安全性和完整性，可能导致重大安全事件，影响组织的业务连续性

传达给相关人员和相关方并得到他们的认可

信息安全策略传达不足

相关人员和相关方未充分了解信息安全策略

缺乏有效的信息安全策略传达机制和渠道

策略执行不当、安全事故频发

可能导致数据泄露、系统瘫痪等安全事件，影响组织的业务连续性和声誉

人员对策略认可不足

相关人员和相关方对信息安全策略的重要性认识不足

缺乏信息安全意识培养和认可机制

人员故意或无意违反策略

增加安全事故的风险，降低组织对外部威胁的抵御能力

策略更新不同步

信息安全策略更新后未及时传达给相关人员和相关方

缺乏策略更新后的有效传达和认可流程

使用过时策略应对新威胁

可能导致安全事故频发，增加组织的财务和声誉损失

培训和沟通不充分

相关人员和相关方对信息安全策略的理解和应用能力不足

缺乏定期的信息安全培训和沟通机制

人员操作失误、安全事故响应不当

影响组织的业务正常运行，降低工作效率，可能导致安全事故扩大化

外部合作方管理不足

外部合作方未充分了解并认可组织的信息安全策略

缺乏对外部合作方的有效管理和监督

外部合作方引发的安全事故

可能导致数据泄露、供应链攻击等安全事件，损害组织的利益

在计划的时间间隔和发生重大变化时进行评审

策略评审不及时

未能按计划时间间隔进行信息安全策略评审

管理层对策略评审重要性的认识不足，评审流程不明确或执行不力

策略过时、无法应对新威胁

增加组织遭受攻击和数据泄露的风险，降低对外部威胁的抵御能力

重大变化未响应

发生重大变化（如技术更新、法规变动）时未及时评审信息安全策略

对外部变化的敏感性不足，缺乏快速响应机制

策略与实际情况脱节，无法有效应对新风险

可能导致安全事故频发，影响组织的业务连续性和声誉

评审流程不严谨

信息安全策略评审流程存在漏洞或疏忽

评审人员能力不足，评审标准不明确或执行不力

评审结果不准确、无法真实反映安全风险

可能导致无效的安全措施投入，增加不必要的成本和资源浪费

评审结果未应用

信息安全策略评审后未及时应用评审结果

缺乏有效的评审结果跟踪和应用机制

安全风险持续存在，未得到及时改善

增加安全事故发生的可能性，影响组织的整体安全水平

沟通和协作不足

信息安全策略评审过程中相关部门和人员沟通和协作不足

缺乏有效的沟通和协作机制，责任不明确

评审效率低下，无法及时完成评审任务

延迟信息安全策略的更新和改进，增加组织面临的安全风险

5.2信息安全角色和职责

应根据组织需求规定、分配和沟通组织内各层级的信息安全角色和职责

责任分配与策略不匹配

责任分配与信息安全策略不一致

人员职责与策略要求与不匹配、责任分配不合理

安全策略执行不力、安全漏洞增多

可能导致安全策略无法得到有效执行，增加组织面临的安全风险

角色和职责不明确

缺乏清晰规定的信息安全角色和职责

组织内各层级对信息安全责任认识不清

安全事故响应不当、责任推诿

降低组织对安全事件的应对能力，增加事故损失

责任范围不明确

信息安全责任范围未明确界定

职责边界模糊，责任范围重叠或遗漏

安全事故响应不当、责任推