iso27001信息安全風險評估管理辦法-wenkub.com
2024-09-01 00:54 本頁面
【正文】 在臨時運行的時間段結束后，應重新評估殘余風險的可接受度。基于這一判斷，管理層將做出決 策，決定是否允許信息系統(tǒng)運行。 ? 評估所建議的安全措施 ? 實施成本效益分析 ? 選擇安全措施 ? 制定安全措施的實現(xiàn)計劃 ? 實現(xiàn)所選擇的安全措施 殘余風險的監(jiān)視與處理 風險處理的最后過程中， ISMS小組應列舉出信息系統(tǒng)中所有殘余風險的清單。如果是可接受風險，可保持已有的安全措施；如果是不可接受風險，則需要采取安全措施以降低、控制風險。 ? 降低風險：通過實現(xiàn)安全措施來降低風險，從而將脆弱性被威脅源利用后可能帶來的不利影響最小化（如使用防火墻、漏洞掃描系統(tǒng)等安全產(chǎn)品）。 P=(T*V), 失等級 L＝ (A*V), R＝ (L*P)，風險等級 風險值 1－ 5 6－ 10 11－ 15 16－ 20 21－ 25 風險等級 1 2 3 4 5 。等級數(shù)值越大，脆弱性嚴重程度越高。威脅賦值見下表。針對威脅來源，根據(jù)其表現(xiàn)形式將威脅分為 軟硬件故障 、 物理環(huán)境威脅 、 無作為或操作失誤 、 管理不到位 、 惡意代碼和 病毒 、 越權或濫用 、 黑客攻擊技術 、 物理攻擊 、 泄密 、 篡改 和 抵賴 等。 1）機密性賦值 根據(jù)資產(chǎn)在機密性上的不同要求，將其分為 五個不同的等級，分別對應資產(chǎn)在機密性上的應達成的不同程度或者機密性缺失時對整個組織的影響。 資產(chǎn)分類 根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、文檔、服務、人員等類。 在 ISMS 覆蓋范圍內(nèi)主要信息資產(chǎn) （無） 部門內(nèi)部資產(chǎn)的識別，確定資產(chǎn)價值。 。 資產(chǎn)（ A）賦值 資產(chǎn)賦值就是對資產(chǎn)在機密性、完整性和可用性上的達成程度進行分析，選擇對資產(chǎn)機密性、完整性和可用性最為重要（分值最高）的一個屬性的賦值等級作為資產(chǎn)的最終賦值結果。 賦值 標識 定義 5 極高 包含組織最重要的秘密，關系未來發(fā)展的前途命運，對組織根本利益有著決定性影響，如果泄漏會造成災難性的損害 4 高 包含組織的重要秘密，其泄露會使組織的安
公司管理相關推薦
鄂ICP備17016276號-1