iso27001信息安全風(fēng)險評估管理辦法(文件)
【正文】 的運(yùn)轉(zhuǎn)，因此必須根據(jù)安全事件的可能性和對業(yè)務(wù)的影響來平衡費(fèi)用、時間、安全尺度幾個方面的問題。 ? 規(guī)避風(fēng)險：不介入風(fēng)險，通過消除風(fēng)險的原因和 /或后果（如放棄系統(tǒng)某項功能或關(guān)閉系統(tǒng)）來規(guī)避風(fēng)險。安全措施的選擇應(yīng)兼顧管理與技術(shù)兩個方面，可以參照信息安全的相關(guān)標(biāo)準(zhǔn)實施。在信息系統(tǒng)的運(yùn)行中，應(yīng)密切監(jiān)視這些殘余風(fēng)險的變化，并及時處理。 如果信息系統(tǒng)的殘余風(fēng)險不可接受，而現(xiàn)實情況又要求系統(tǒng)必須投入運(yùn)行，且當(dāng)前沒有其它資源能勝任單位的使命。如果殘余風(fēng)險仍然不可接受，則一般不應(yīng)再批準(zhǔn)信息系統(tǒng)臨時運(yùn)行。 在這種情況下，必須由信息系統(tǒng)的主管者決定臨時運(yùn)行的時間段，制定出在此期間的應(yīng)急預(yù)案以及繼續(xù)處理風(fēng)險的措施。 ISMS小組考察風(fēng)險處理的結(jié)果，判斷殘余風(fēng)險是否處在可接受的水平之內(nèi)。高等級（例如被定義為“非常高”或“高”風(fēng)險級的風(fēng)險）的風(fēng)險項應(yīng)該最優(yōu)先處理。 3（含）以上為不可接受風(fēng)險， 3（不含）以下 為可接受風(fēng)險。 ， 安全事件發(fā)生的可能性就越高，安全事件對該資產(chǎn)以及業(yè)務(wù)的影響也就越大，風(fēng)險管理策略有以下： ? 接受風(fēng)險：接受潛在的風(fēng)險并繼續(xù)運(yùn)行信息系統(tǒng)，不對風(fēng)險進(jìn)行處 惠州 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請進(jìn)： 好好學(xué)習(xí)社區(qū) 理。 完成了資產(chǎn)識別、威脅識別、脆弱性識別，以及對已有安全措施確認(rèn)后， ISMS小組采用矩陣法確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，考慮安全事件一旦發(fā)生其所作用的資產(chǎn)的重要性及脆弱性的嚴(yán)重程度判斷安全事件造成的損失對組織的影響，即安全風(fēng)險。 脆弱性 (V)嚴(yán)重程度賦值 脆弱性嚴(yán)重程度的等級劃分為五級，分別代表資產(chǎn)脆弱性嚴(yán)重程度的高低。等級數(shù)值越大，威脅出現(xiàn)的頻率越高。 賦值 標(biāo)識 定義 5 極高 可用性價值非常高，合法使用者對信息及信息系統(tǒng)的可用度達(dá)到年度 %以上 4 高 可用性價值較高，合法使用者對信息及信息系統(tǒng)的可用度達(dá)到每天 90%以上 3 中等 可用性價值中等，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時間達(dá)到 70%以上 2 低 可用性價值較低，合法使用者對信息及信息系統(tǒng)的可用度在正
公司管理相關(guān)推薦
鄂ICP備17016276號-1