215215215術(shù)有限公司信息安全風(fēng)險(xiǎn)評(píng)估管理辦法(編輯修改稿)
2025-05-11 11:38 本頁面
【文章內(nèi)容簡(jiǎn)介】 險(xiǎn)計(jì)算采用下面的算術(shù)方法來得到信息資產(chǎn)的風(fēng)險(xiǎn)值：風(fēng)險(xiǎn)值 ＝ 資產(chǎn)值 威脅值 弱點(diǎn)值風(fēng)險(xiǎn)等級(jí)與風(fēng)險(xiǎn)值對(duì)應(yīng)關(guān)系參考下圖：風(fēng)險(xiǎn)級(jí)別列表風(fēng)險(xiǎn)等級(jí)風(fēng)險(xiǎn)取值范圍4很高464一旦發(fā)生將產(chǎn)生非常嚴(yán)重的經(jīng)濟(jì)或社會(huì)影響，如組織信譽(yù)嚴(yán)重破壞、嚴(yán)重影響組織的正常經(jīng)營，經(jīng)濟(jì)損失重大。3高22336一旦發(fā)生將產(chǎn)生較大的經(jīng)濟(jì)或社會(huì)影響，在一定范圍內(nèi)給組織的經(jīng)營和組織信譽(yù)造成損害。2中1118一旦發(fā)生會(huì)造成一定的經(jīng)濟(jì)、社會(huì)或生產(chǎn)經(jīng)營影響，但影響面和影響程度不大，一般僅限于組織內(nèi)部，通過一定手段就能解決1低≤9一旦發(fā)生造成的影響很小或幾乎不存在，通過簡(jiǎn)單的措施就能彌補(bǔ)。 風(fēng)險(xiǎn)等級(jí)計(jì)算結(jié)果如下：根據(jù)計(jì)算出的風(fēng)險(xiǎn)值，對(duì)風(fēng)險(xiǎn)進(jìn)行排序，并根據(jù)組織自身的特點(diǎn)和具體條件、需求，選擇相應(yīng)的風(fēng)險(xiǎn)處置方式。 風(fēng)險(xiǎn)處置 概述風(fēng)險(xiǎn)的處置方法依照風(fēng)險(xiǎn)程度，根據(jù)風(fēng)險(xiǎn)等級(jí)來采取不同的處置方法。風(fēng)險(xiǎn)程度和遵照的處置方法建議見下表：風(fēng)險(xiǎn)等級(jí)列表符號(hào)含義建議處置方法VH很高風(fēng)險(xiǎn)需要管理層的高度注意：避免？轉(zhuǎn)移？減少？H高風(fēng)險(xiǎn)需要管理層的注意：避免？轉(zhuǎn)移？減小？M中風(fēng)險(xiǎn)必須規(guī)定管理責(zé)任：避免？接受？轉(zhuǎn)移？減??？L低風(fēng)險(xiǎn)用日常程序處理：避免？接受？轉(zhuǎn)移？減小？選擇處置措施的原則是權(quán)衡利弊：權(quán)衡每種選擇的成本與其得到的利益。當(dāng)風(fēng)險(xiǎn)已經(jīng)定義后，必須決定如何處置這些風(fēng)險(xiǎn)。 風(fēng)險(xiǎn)處置方法在考慮風(fēng)險(xiǎn)處理前，如果經(jīng)評(píng)估顯示，風(fēng)險(xiǎn)較低或處理成本對(duì)于組織來說不劃算，則風(fēng)險(xiǎn)可被接受。這些決定應(yīng)加以記錄。通常有四種風(fēng)險(xiǎn)處置的方法：1. 避免風(fēng)險(xiǎn)：在某些情況下，可以決定不繼續(xù)進(jìn)行可能產(chǎn)生風(fēng)險(xiǎn)的活動(dòng)來規(guī)避風(fēng)險(xiǎn)。在某些情況可能是較為穩(wěn)妥的處理辦法，但是在某些情況下可能會(huì)因此而喪失機(jī)會(huì)。例如，將重要的計(jì)算機(jī)系統(tǒng)與互聯(lián)網(wǎng)隔離，使其免遭來自外部網(wǎng)絡(luò)的攻擊。2. 降低風(fēng)險(xiǎn)：實(shí)施有效控制，將風(fēng)險(xiǎn)降低到可接受的程度，實(shí)際上就是力圖減少威脅發(fā)生的可能性和帶來的影響，包括：l 減少威脅：例如，建立并實(shí)施惡意軟件控制程序，減少信息系統(tǒng)受惡意軟件攻擊的機(jī)會(huì)；l 減少弱點(diǎn)：例如，通過安全教育和意識(shí)培訓(xùn)，強(qiáng)化職員的安全意識(shí)與安全操作能力；l 降低影響：例如，制定災(zāi)難回復(fù)計(jì)劃和業(yè)務(wù)連續(xù)性計(jì)劃，做好備份。3. 轉(zhuǎn)移風(fēng)險(xiǎn)：這涉及承擔(dān)或分擔(dān)部分風(fēng)險(xiǎn)的另一方。手段包括合同、保險(xiǎn)安排、合伙、資產(chǎn)轉(zhuǎn)移等。4. 接受風(fēng)險(xiǎn)：不管如何處置，一般資產(chǎn)面臨的風(fēng)險(xiǎn)總是在一定程度上存在。當(dāng)組織根據(jù)風(fēng)險(xiǎn)評(píng)估的方法，完成實(shí)施選擇的控制措施后，會(huì)有殘余的風(fēng)險(xiǎn)。殘余風(fēng)險(xiǎn)可能是組織可以接受的風(fēng)險(xiǎn)，也可能是遺漏了某些信息資產(chǎn)，使其未受保護(hù)。為確保組織的信息安全，殘余風(fēng)險(xiǎn)應(yīng)該控制在可以接受的范圍之內(nèi)。風(fēng)險(xiǎn)接受是對(duì)殘余風(fēng)險(xiǎn)進(jìn)行確認(rèn)和評(píng)價(jià)的過程。在實(shí)施安全控制措施后，組織應(yīng)該對(duì)安全措施的情況進(jìn)行評(píng)審，即對(duì)所選擇的控制在多大程度上降低了風(fēng)險(xiǎn)做出判斷。通過成本利益分析、影響分析及風(fēng)險(xiǎn)回顧，即在繼續(xù)處置需要的成本和風(fēng)險(xiǎn)之間進(jìn)行抉擇。風(fēng)險(xiǎn)接受要符合風(fēng)險(xiǎn)可接受準(zhǔn)則，即風(fēng)險(xiǎn)評(píng)估結(jié)果中風(fēng)險(xiǎn)值為2及以下，都是可以接受的風(fēng)險(xiǎn)，最終上報(bào)給最高領(lǐng)導(dǎo)，待領(lǐng)導(dǎo)批準(zhǔn)是否選擇接受風(fēng)險(xiǎn)。 風(fēng)險(xiǎn)處置流程 選擇控制項(xiàng)在大多數(shù)情況下，必須選擇控制項(xiàng)來降低風(fēng)險(xiǎn)。在完成風(fēng)險(xiǎn)評(píng)估之后，組織需要在每一個(gè)目標(biāo)信息環(huán)境中，對(duì)選擇的控制項(xiàng)進(jìn)行實(shí)施，以便遵從ISO/27001標(biāo)準(zhǔn)。組織選擇能夠承受（經(jīng)濟(jì)上）的防護(hù)措施來防護(hù)面臨的威脅。在最終風(fēng)險(xiǎn)處置計(jì)劃出來前，組織可以接受或拒絕建議的保護(hù)方案。 風(fēng)險(xiǎn)處置計(jì)劃風(fēng)險(xiǎn)處置計(jì)劃包含所有相關(guān)信息：管理任務(wù)和職責(zé)、管理責(zé)任人、風(fēng)險(xiǎn)管理的優(yōu)先等級(jí)等等（詳見附錄《風(fēng)險(xiǎn)處置計(jì)劃表》）。對(duì)組織來講，有一些附加控制在標(biāo)準(zhǔn)中沒有描述，但也是需要的。一個(gè)由外部咨詢顧問協(xié)助的風(fēng)險(xiǎn)評(píng)估會(huì)很有幫助。 控制項(xiàng)的實(shí)施通過風(fēng)險(xiǎn)處置計(jì)劃的實(shí)施，組織應(yīng)該盡其所能針對(duì)等級(jí)保護(hù)中的標(biāo)準(zhǔn)內(nèi)容在管理、技術(shù)、邏輯、物理和環(huán)境控制方面進(jìn)行勸止、防護(hù)、檢測(cè)、糾正、恢復(fù)和補(bǔ)償工作。如下表所示。表中
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1