iso27001信息安全風(fēng)險(xiǎn)評(píng)估管理辦法(參考版)
2025-09-01 00:54本頁面
【正文】 如果殘余風(fēng)險(xiǎn)仍然不可接受，則一般不應(yīng)再批準(zhǔn)信息系統(tǒng)臨時(shí)運(yùn)行。 在這種情況下，必須由信息系統(tǒng)的主管者決定臨時(shí)運(yùn)行的時(shí)間段，制定出在此期間的應(yīng)急預(yù)案以及繼續(xù)處理風(fēng)險(xiǎn)的措施。 如果信息系統(tǒng)的殘余風(fēng)險(xiǎn)不可接受，而現(xiàn)實(shí)情況又要求系統(tǒng)必須投入運(yùn)行，且當(dāng)前沒有其它資源能勝任單位的使命。 ISMS小組考察風(fēng)險(xiǎn)處理的結(jié)果，判斷殘余風(fēng)險(xiǎn)是否處在可接受的水平之內(nèi)。在信息系統(tǒng)的運(yùn)行中，應(yīng)密切監(jiān)視這些殘余風(fēng)險(xiǎn)的變化，并及時(shí)處理。高等級(jí)（例如被定義為“非常高”或“高”風(fēng)險(xiǎn)級(jí)的風(fēng)險(xiǎn)）的風(fēng)險(xiǎn)項(xiàng)應(yīng)該最優(yōu)先處理。安全措施的選擇應(yīng)兼顧管理與技術(shù)兩個(gè)方面，可以參照信息安全的相關(guān)標(biāo)準(zhǔn)實(shí)施。 3（含）以上為不可接受風(fēng)險(xiǎn)， 3（不含）以下 為可接受風(fēng)險(xiǎn)。 ? 規(guī)避風(fēng)險(xiǎn)：不介入風(fēng)險(xiǎn)，通過消除風(fēng)險(xiǎn)的原因和 /或后果（如放棄系統(tǒng)某項(xiàng)功能或關(guān)閉系統(tǒng)）來規(guī)避風(fēng)險(xiǎn)。 ， 安全事件發(fā)生的可能性就越高，安全事件對(duì)該資產(chǎn)以及業(yè)務(wù)的影響也就越大，風(fēng)險(xiǎn)管理策略有以下： ? 接受風(fēng)險(xiǎn)：接受潛在的風(fēng)險(xiǎn)并繼續(xù)運(yùn)行信息系統(tǒng)，不對(duì)風(fēng)險(xiǎn)進(jìn)行處 惠州 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 理。公司需要有效和經(jīng)濟(jì)的運(yùn)轉(zhuǎn)，因此必須根據(jù)安全事件的可能性和對(duì)業(yè)務(wù)的影響來平衡費(fèi)用、時(shí)間、安全尺度幾個(gè)方面的問題。 完成了資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別，以及對(duì)已有安全措施確認(rèn)后， ISMS小組采用矩陣法確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，考慮安全事件一旦發(fā)生其所作用的資產(chǎn)的重要性及脆弱性的嚴(yán)重程度判斷安全事件造成的損失對(duì)組織的影響，即安全風(fēng)險(xiǎn)。脆弱性嚴(yán)重程度賦值見下表 惠州 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 等級(jí) 標(biāo)識(shí) 定義 5 很高 如果被威脅利用，將對(duì)資產(chǎn)造成完全損害（ 90％以上） 4 高 如果被威脅利用，將對(duì)資產(chǎn)造成重大損害（ 70％） 3 中 如果被威脅利用，將對(duì)資產(chǎn)造成一般損害 （ 30％） 2 低 如果被威脅利用，將對(duì)資產(chǎn)造成較小損害 （ 10％） 1 很低 如果被威脅利用，將對(duì)資產(chǎn)造成的損害可以忽略（ 10％以下） ISMS小組應(yīng)對(duì)已采取的安全措施
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1