iso27001信息安全風險評估管理辦法-資料下載頁
2024-09-05 00:54本頁面
【導讀】級，識別和評價供處理風險的可選措施，選擇控制目標和控制措施處理風險。部門內部資產的識別，確定資產價值。信息系統(tǒng)運行的批準。為資產的最終賦值結果。等級數值越大，資產價值越高。完整性上的達成的不同程度或者完整性缺失時對整個組織的影響。對重要資產應由ISMS小組識別其面臨的威脅。針對威脅來源，根據其表現(xiàn)形式。代碼和病毒、越權或濫用、黑客攻擊技術、物理攻擊、泄密、篡改和抵賴等。級劃分為五級，分別代表威脅出現(xiàn)的頻率的高低。威脅賦值見下表。系統(tǒng)層、應用層等各個層面的安全問題。管理兩方面，前者與具體技術活動相關，后者與管理環(huán)境相關。避免不必要的工作和費用，防止安全措施的重復實施。應核實是否應被取消，或者用更合適的安全措施替代。所作用的資產的重要性及脆弱性的嚴重程度判斷安全事件造成的損失對組織的影響，公司需要有效和經濟的運轉，因此。幾個方面的問題。公司在考慮接受殘余風險時的標準為只接受中或低范圍
【正文】 接受風險。如果是可接受風險，可保持已有的安全措施；如果是不可接受風險，則需要采取安全措施以降低、控制風險。安全措施的選擇應兼顧管理與技術兩個方面，可以參照信息安全的相關標準實施。 確定控制目標、控制措施和對策 基于在風險評估結果報告中提出的風險級別， ISMS小組對風險處理的工作進行優(yōu)先級排序。高等級（例如被定義為“非常高”或“高”風險級的風險）的風險項應該最優(yōu)先處理。 ? 評估所建議的安全措施 ? 實施成本效益分析 ? 選擇安全措施 ? 制定安全措施的實現(xiàn)計劃 ? 實現(xiàn)所選擇的安全措施 殘余風險的監(jiān)視與處理 風險處理的最后過程中， ISMS小組應列舉出信息系統(tǒng)中所有殘余風險的清單。在信息系統(tǒng)的運行中，應密切監(jiān)視這些殘余風險的變化，并及時處理。 每年年初評估信息系統(tǒng)安全風險時，對殘余風險和已確定的可接受的風險級別進行評審時，應考慮以下方面的變化： ? 組織結構； ? 技術； ? 業(yè)務目標和過程； ? 已識別的威脅； 惠州 培訓網 更多免費資料下載請進： 好好學習社區(qū) ? 已實施控制措施的有效性； ? 外部事件，如法律法規(guī)環(huán)境的變更、合同義務的變更和社會環(huán)境的變更。 ISMS小組考察風險處理的結果，判斷殘余風險是否處在可接受的水平之內?；谶@一判斷，管理層將做出決 策，決定是否允許信息系統(tǒng)運行。 如果信息系統(tǒng)的殘余風險不可接受，而現(xiàn)實情況又要求系統(tǒng)必須投入運行，且當前沒有其它資源能勝任單位的使命。這時可以臨時批準信息系統(tǒng)投入運行。 在這種情況下，必須由信息系統(tǒng)的主管者決定臨時運行的時間段，制定出在此期間的應急預案以及繼續(xù)處理風險的措施。在臨時運行的時間段結束后，應重新評估殘余風險的可接受度。如果殘余風險仍然不可接受，則一般不應再批準信息系統(tǒng)臨時運行。 《 GB/T209842020信息安全風險評估規(guī)范》 《信息資產管理制度》 錄 《信息資產識別表》 《重要資產清單》 《威脅 /脆弱性因素表》 《風險評估表》 《安全措施實施計劃》 《殘余風險清單》
公司管理相關推薦
鄂ICP備17016276號-1