iso27001信息安全風(fēng)險評估管理辦法(參考版)
2024-09-09 00:54本頁面
【正文】 如果殘余風(fēng)險仍然不可接受，則一般不應(yīng)再批準(zhǔn)信息系統(tǒng)臨時運(yùn)行。 在這種情況下，必須由信息系統(tǒng)的主管者決定臨時運(yùn)行的時間段，制定出在此期間的應(yīng)急預(yù)案以及繼續(xù)處理風(fēng)險的措施。 如果信息系統(tǒng)的殘余風(fēng)險不可接受，而現(xiàn)實(shí)情況又要求系統(tǒng)必須投入運(yùn)行，且當(dāng)前沒有其它資源能勝任單位的使命。 ISMS小組考察風(fēng)險處理的結(jié)果，判斷殘余風(fēng)險是否處在可接受的水平之內(nèi)。在信息系統(tǒng)的運(yùn)行中，應(yīng)密切監(jiān)視這些殘余風(fēng)險的變化，并及時處理。高等級（例如被定義為“非常高”或“高”風(fēng)險級的風(fēng)險）的風(fēng)險項(xiàng)應(yīng)該最優(yōu)先處理。安全措施的選擇應(yīng)兼顧管理與技術(shù)兩個方面，可以參照信息安全的相關(guān)標(biāo)準(zhǔn)實(shí)施。 3（含）以上為不可接受風(fēng)險， 3（不含）以下 為可接受風(fēng)險。 ? 規(guī)避風(fēng)險：不介入風(fēng)險，通過消除風(fēng)險的原因和 /或后果（如放棄系統(tǒng)某項(xiàng)功能或關(guān)閉系統(tǒng)）來規(guī)避風(fēng)險。 ， 安全事件發(fā)生的可能性就越高，安全事件對該資產(chǎn)以及業(yè)務(wù)的影響也就越大，風(fēng)險管理策略有以下： ? 接受風(fēng)險：接受潛在的風(fēng)險并繼續(xù)運(yùn)行信息系統(tǒng)，不對風(fēng)險進(jìn)行處 惠州 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請進(jìn)： 好好學(xué)習(xí)社區(qū) 理。公司需要有效和經(jīng)濟(jì)的運(yùn)轉(zhuǎn)，因此必須根據(jù)安全事件的可能性和對業(yè)務(wù)的影響來平衡費(fèi)用、時間、安全尺度幾個方面的問題。 完成了資產(chǎn)識別、威脅識別、脆弱性識別，以及對已有安全措施確認(rèn)后， ISMS小組采用矩陣法確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，考慮安全事件一旦發(fā)生其所作用的資產(chǎn)的重要性及脆弱性的嚴(yán)重程度判斷安全事件造成的損失對組織的影響，即安全風(fēng)險。脆弱性嚴(yán)重程度賦值見下表 惠州 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請進(jìn)： 好好學(xué)習(xí)社區(qū) 等級 標(biāo)識 定義 5 很高 如果被威脅利用，將對資產(chǎn)造成完全損害（ 90％以上） 4 高 如果被威脅利用，將對資產(chǎn)造成重大損害（ 70％） 3 中 如果被威脅利用，將對資產(chǎn)造成一般損害 （ 30％） 2 低 如果被威脅利用，將對資產(chǎn)造成較小損害 （ 10％） 1 很低 如果被威脅利用，將對資產(chǎn)造成的損害可以忽略（ 10％以下） ISMS小組應(yīng)對已采取的安全措施
公司管理相關(guān)推薦
鄂ICP備17016276號-1