信息安全管理手册

ﻬ修改记录

6.1 处置风险和机遇

6．1．1总则

为实现公司信息安全管理体系方针和目标,我司参考组织环境中的问题和相关方的需求和,来决定需要被处置的风险和机遇:

a) 确保信息安全管理体系可以实现其预期目标；

ｂ) 避免或减少不良影响；

c) 实现持续改进。

公司对以下方面进行规划：

a) 处置风险和机遇的行动;

b) 如何

1) 将实施行动整合到信息安全管理体系流程中；

２) 评价行动的有效性。

6.１.2信息安全风险评估

公司制定《信息安全风险评估控制程序》,建立识别适用于信息安全管理体系和已经识别的业务信息安全、法律和法规要求的风险评估方法，建立接受风险的准则并识别风险的可接受等级。所选择的风险评估方法应确保风险评估能产生可比较的和可重复的结果。

信息安全风险评估的流程见图2．风险评估流程图。

附件一：信息安全职能分配表(注:▲ 负责部门; △相关部门)：