iso27001信息安全風(fēng)險(xiǎn)評(píng)估管理辦法(文件)
【正文】 的運(yùn)轉(zhuǎn)，因此必須根據(jù)安全事件的可能性和對(duì)業(yè)務(wù)的影響來(lái)平衡費(fèi)用、時(shí)間、安全尺度幾個(gè)方面的問(wèn)題。 ? 規(guī)避風(fēng)險(xiǎn)：不介入風(fēng)險(xiǎn)，通過(guò)消除風(fēng)險(xiǎn)的原因和 /或后果（如放棄系統(tǒng)某項(xiàng)功能或關(guān)閉系統(tǒng)）來(lái)規(guī)避風(fēng)險(xiǎn)。安全措施的選擇應(yīng)兼顧管理與技術(shù)兩個(gè)方面，可以參照信息安全的相關(guān)標(biāo)準(zhǔn)實(shí)施。在信息系統(tǒng)的運(yùn)行中，應(yīng)密切監(jiān)視這些殘余風(fēng)險(xiǎn)的變化，并及時(shí)處理。 如果信息系統(tǒng)的殘余風(fēng)險(xiǎn)不可接受，而現(xiàn)實(shí)情況又要求系統(tǒng)必須投入運(yùn)行，且當(dāng)前沒(méi)有其它資源能勝任單位的使命。如果殘余風(fēng)險(xiǎn)仍然不可接受，則一般不應(yīng)再批準(zhǔn)信息系統(tǒng)臨時(shí)運(yùn)行。 在這種情況下，必須由信息系統(tǒng)的主管者決定臨時(shí)運(yùn)行的時(shí)間段，制定出在此期間的應(yīng)急預(yù)案以及繼續(xù)處理風(fēng)險(xiǎn)的措施。 ISMS小組考察風(fēng)險(xiǎn)處理的結(jié)果，判斷殘余風(fēng)險(xiǎn)是否處在可接受的水平之內(nèi)。高等級(jí)（例如被定義為“非常高”或“高”風(fēng)險(xiǎn)級(jí)的風(fēng)險(xiǎn)）的風(fēng)險(xiǎn)項(xiàng)應(yīng)該最優(yōu)先處理。 3（含）以上為不可接受風(fēng)險(xiǎn)， 3（不含）以下 為可接受風(fēng)險(xiǎn)。 ， 安全事件發(fā)生的可能性就越高，安全事件對(duì)該資產(chǎn)以及業(yè)務(wù)的影響也就越大，風(fēng)險(xiǎn)管理策略有以下： ? 接受風(fēng)險(xiǎn)：接受潛在的風(fēng)險(xiǎn)并繼續(xù)運(yùn)行信息系統(tǒng)，不對(duì)風(fēng)險(xiǎn)進(jìn)行處 惠州 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 理。 完成了資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別，以及對(duì)已有安全措施確認(rèn)后， ISMS小組采用矩陣法確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，考慮安全事件一旦發(fā)生其所作用的資產(chǎn)的重要性及脆弱性的嚴(yán)重程度判斷安全事件造成的損失對(duì)組織的影響，即安全風(fēng)險(xiǎn)。 脆弱性 (V)嚴(yán)重程度賦值 脆弱性嚴(yán)重程度的等級(jí)劃分為五級(jí)，分別代表資產(chǎn)脆弱性嚴(yán)重程度的高低。等級(jí)數(shù)值越大，威脅出現(xiàn)的頻率越高。 賦值 標(biāo)識(shí) 定義 5 極高 可用性價(jià)值非常高，合法使用者對(duì)信息及信息系統(tǒng)的可用度達(dá)到年度 %以上 4 高 可用性價(jià)值較高，合法使用者對(duì)信息及信息系統(tǒng)的可用度達(dá)到每天 90%以上 3 中等 可用性價(jià)值中等，合法使用者對(duì)信息及信息系統(tǒng)的可用度在正常工作時(shí)間達(dá)到 70%以上 2 低 可用性價(jià)值較低，合法使用者對(duì)信息及信息系統(tǒng)的可用度在正
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1