iso27001信息安全風(fēng)險(xiǎn)評(píng)估管理辦法(完整版)
【正文】 評(píng)估所建議的安全措施 ? 實(shí)施成本效益分析 ? 選擇安全措施 ? 制定安全措施的實(shí)現(xiàn)計(jì)劃 ? 實(shí)現(xiàn)所選擇的安全措施 殘余風(fēng)險(xiǎn)的監(jiān)視與處理 風(fēng)險(xiǎn)處理的最后過程中， ISMS小組應(yīng)列舉出信息系統(tǒng)中所有殘余風(fēng)險(xiǎn)的清單。在臨時(shí)運(yùn)行的時(shí)間段結(jié)束后，應(yīng)重新評(píng)估殘余風(fēng)險(xiǎn)的可接受度。基于這一判斷，管理層將做出決 策，決定是否允許信息系統(tǒng)運(yùn)行。如果是可接受風(fēng)險(xiǎn)，可保持已有的安全措施；如果是不可接受風(fēng)險(xiǎn)，則需要采取安全措施以降低、控制風(fēng)險(xiǎn)。 P=(T*V), 失等級(jí) L＝ (A*V), R＝ (L*P)，風(fēng)險(xiǎn)等級(jí) 風(fēng)險(xiǎn)值 1－ 5 6－ 10 11－ 15 16－ 20 21－ 25 風(fēng)險(xiǎn)等級(jí) 1 2 3 4 5 。威脅賦值見下表。 1）機(jī)密性賦值 根據(jù)資產(chǎn)在機(jī)密性上的不同要求，將其分為 五個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在機(jī)密性上的應(yīng)達(dá)成的不同程度或者機(jī)密性缺失時(shí)對(duì)整個(gè)組織的影響。 在 ISMS 覆蓋范圍內(nèi)主要信息資產(chǎn) （無(wú)） 部門內(nèi)部資產(chǎn)的識(shí)別，確定資產(chǎn)價(jià)值。 資產(chǎn)（ A）賦值 資產(chǎn)賦值就是對(duì)資產(chǎn)在機(jī)密性、完整性和可用性上的達(dá)成程度進(jìn)行分析，選擇對(duì)資產(chǎn)機(jī)密性、完整性和可用性最為重要（分值最高）的一個(gè)屬性的賦值等級(jí)作為資產(chǎn)的最終賦值結(jié)果。 威脅 (T)賦值 評(píng)估者應(yīng)根據(jù)經(jīng)驗(yàn)和（或）有關(guān)的統(tǒng)計(jì)數(shù)據(jù)來判斷威脅出現(xiàn)的頻率。脆弱性嚴(yán)重程度賦值見下表 惠州 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 等級(jí) 標(biāo)識(shí) 定義 5 很高 如果被威脅利用，將對(duì)資產(chǎn)造成完全損害（ 90％以上） 4 高 如果被威脅利用，將對(duì)資產(chǎn)造成重大損害（ 70％） 3 中 如果被威脅利用，將對(duì)資產(chǎn)造成一般損害 （ 30％） 2 低 如果被威脅利用，將對(duì)資產(chǎn)造成較小損害 （ 10％） 1 很低 如果被威脅利用，將對(duì)資產(chǎn)造成的損害可以忽略（ 10％以下） ISMS小組應(yīng)對(duì)已采取的安全措施 的有效性進(jìn)行確認(rèn)，對(duì)有效的安全措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止安全措施的重復(fù)實(shí)施。 ? 規(guī)避風(fēng)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1