各乡、镇人民政府，各街道办事处，区政府各委、办、局：
区信息委拟订的《宝山区信息安全风险评估试点工作方案》已经区政府领导同意，现转发给你们，请认真按照执行。
特此通知 宝山区信息安全风险评估试点工作方案 根据上海市信息化委员会《关于开展信息安全风险评估试点工作的通知》（沪信息委安[2005] 64号），区信息委被列为国务院信息化办公室开展的信息安全风险评估工作上海地区试点单位之一，负责承担相关试点工作，为国家信息安全主管部门制定相关管理政策提供客观依据。为保证本次信息安全风险评估试点顺利开展并取得预期的效果，特制定本方案。
一、工作目标
通过在我区电子政务领域开展信息安全风险评估的实践，为《国家信息安全风险评估实施意见》及相关标准的制定提供依据；了解掌握被评估系统的安全风险状况，为信息系统的主管部门提供安全决策建议；为我区进一步加强落实信息系统生命周期全过程的方案评审、安全评测、等级保护等安全动态监管工作，全面促进我区信息安全保障体系的建设提供参考依据。
二、评估范围
经过前期调研，从电子政务横向和纵向应用领域选择了区办公业务网网络系统、工商宝山分局的并联审批系统、友谊路街道的社区政务管理系统和区政府门户网站的网站发布系统作为本次试点工作的评估对象。
三、组织保障
为贯彻落实市信息委关于本次信息安全风险评估试点工作的要求，确保本项目任务目标的完成，成立宝山区信息安全风险评估协调工作小组，负责具体工作。协调工作小组由下列人员组成：
组 长：李 原 副区长
副组长：高 香 区政府办公室副主任
浦志良 区信息委主任
成 员：龚东耀 区信息委副主任
丁连贵 工商宝山分局副局长
郭生荣 友谊路街道办事处副主任
黄永庆 宝山区政府门户网站站长
协调工作小组成员单位安排工作人员与市信息安全测评中心的信息安全专家共同组成联络小组（名单附后）。
我区信息安全风险评估试点工作采用委托评估的方式，由市信息安全测评中心实施具体评估工作。协调工作小组的职责是负责组织、协调工作，联络小组负责配合市信息安全测评中心的工作人员实施各项工作和任务，定期向市试点工作小组汇报工作进展情况，确保试点工作顺利完成。
三、时间安排
试点工作实践暂定为6个月，划分为以下三个阶段：
（一）准备阶段（2005年3月—2005年4月）
1、确定试点单位和试点信息系统。宝山区作为上海的5家试点单位之一，区电子政务综合平台系统是本次评估试点工作的重点。
2、确定参与工作人员，制定风险评估试点工作方案。以市信息委下发的《上海市信息安全风险评估试点实施方案》和《上海市信息安全风险评估试点工作计划》为指导，结合我区工作实际，编制区风险评估试点工作方案，初步研究制定相关程序文件及作业指导书。
（二）实施阶段（2005年5月—2005年6月）
1、对参与试点工作的人员进行相关风险评估理论标准、工作方法及操作程序的培训。
2、系统风险评估的现场实施。由市信息安全测评中心根据既定的评估模式、评估程序文件及作业指导书，收集相关数据，实施现场评估。
3、7月初，区信息安全风险评估协调工作小组将试点工作初步结果报市信息安全风险评估工作小组。
（三）总结阶段（2005年7月）
1、联络小组根据现场阶段收集的数据、评估过程的阶段性结果，进行汇总分析，撰写试点系统的风险评估报告，制定风险处理计划，经试点单位领导确认后实施。试点单位根据实际情况，实施风险处理计划，降低信息安全风险。
2、完成我区信息安全风险评估试点工作报告，归纳、总结信息安全风险评估的技术及方法，重点针对[国信办（2005）5号]附件一的内容提出对建立国家风险评估管理制度的操作建议。
3、区信息安全风险评估协调工作小组在7月底前将试点工作最终结果报市信息安全风险评估工作小组审核。
四、经费落实
除市信息委对本区信息安全风险评估试点工作提供的工作经费外，区信息委将在此基础上给予一定的配套经费，以确保本次试点工作的正常开展。 附件1： 区信息安全风险评估联络小组名单 钱 方 区信息委业务科科长
杨建忠 友谊路街道办事处办公室副主任
郑 娅 区信息化服务中心技术部主管
姜 伟 区信息化服务中心政务网络管理部主管
杨志坚 工商宝山分局信息中心
谭士清 区政府门户网站网络管理员
陆 赟 区信息化服务中心
刘 宇 区信息化服务中心
应 力 市信息安全测评中心
梁 勇 市信息安全测评中心 附件2： 区信息安全风险评估试点工作进度安排 一、第一阶段：前期准备（2005年3月29日－4月25日）
1、3月29日～4月11日，实施初步交流，确定双方参与的人员、范围、系统对象；
2、4月11日～4月25日，确定风险评估协调工作小组成员，完成风险评估培训工作；
3、4月25日～4月30日，针对评估单位实际情况，制定具体的工作计划，形成各类判断依据、程序和要求。
二、第二阶段：实施阶段（2005年4月25日－6月31日）
1、5月8日～5月17日，完成资产调查、识别工作；
2、5月17日～5月27日，完成威胁分析；
3、5月27～6月3日，完成脆弱性识别的技术测试及管理体系评估工作；
4、6月3日～6月13日，完成风险的计算、评估工作；
5、6月13日～6月23日，完成安全控制措施选择；
6、6月23日～7月6日，安全控制措施实施，撰写风险评估报告。
三、第三阶段：报告与总结（2005年7月）
1、7月6日～7月10日，完成报告，风险控制措施控制，并向试点单位管理层汇报；
2、7月20日，完成试点总结工作，将报告及总结报市工作小组。 主题词：科技 信息 风险评估 工作方案 通知
|