GB/Z 24364-2009《信息安全技术信息安全风险管理指南》解读-企检网

标准详情

一、标准的基本信息

GB/Z 24364-2009《信息安全技术信息安全风险管理指南》是一项国家标准化指导性技术文件，由中华人民共和国国家质量监督检验检疫总局和中国国家标准化管理委员会联合发布。该标准于2009年9月30日发布，并自2009年12月1日起正式实施。该标准由全国信息安全标准化技术委员会提出并归口，主管部门为国家标准化管理委员会。主要起草单位包括国家信息中心信息安全研究与服务中心、中国电信股份有限公司北京研究院等。

二、标准内容

本指导性技术文件详细规定了信息安全风险管理的内容和过程，为信息系统生命周期不同阶段的信息安全风险管理提供指导。具体包括：

背景建立：确定风险管理的对象和范围，进行相关信息的调查和分析。

风险评估：包括评估准备、要素识别（资产、威胁、脆弱性、安全措施）、风险分析（定量分析、定性分析、知识、模型）和风险报告。

风险处理：降低、规避、转移、接受风险，并对处理后的残余风险进行跟踪监控。

批准监督：对风险管理的认可和风险控制的批准监督。

监控审查：对风险管理过程的监视和审查。

沟通咨询：在风险管理过程中进行沟通和咨询。

信息系统生命周期各阶段的风险管理：包括规划、设计、实施、运维和废弃阶段的信息安全风险管理。

三、标准应用场景

GB/Z 24364-2009《信息安全技术信息安全风险管理指南》适用于各类组织的信息安全风险管理工作。具体应用场景包括：

新建信息系统：在信息系统规划阶段，组织应依据该标准建立信息安全风险管理框架，确定安全目标和需求。