gbt22080信息安全風(fēng)險評估管理程序-展示頁
2024-09-17 07:53本頁面
【正文】 ? 在部門安全主管領(lǐng)導(dǎo)下，負(fù)責(zé) 本部門 風(fēng)險處理計劃的 實施 5 風(fēng)險評估方法 風(fēng)險各要素的關(guān)系 風(fēng)險評估中各要素的關(guān)系如圖 1。 3 術(shù)語和定義 引用 ISO/IEC27001:2020(idt GB/T 220802020)和 ISO/IEC27002:2020(idt GB/T 220812020)的相關(guān)術(shù)語和定義。 德信誠 培訓(xùn)網(wǎng) 更多免費資料下載請進(jìn)： 好好學(xué)習(xí)社區(qū) ISMS 信息安全風(fēng)險評估管理程序 1 目的 從風(fēng)險管理角度，運用科學(xué)的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護(hù)對策和整改措施；為防范和化解信息安全風(fēng)險，將風(fēng)險控制在可接受的水平，從而最大限度地為保障信息安全提供科學(xué)依據(jù)。 2 適用范圍 信息安全管理體系覆蓋范圍內(nèi)的所有信息資產(chǎn)。 4 職責(zé)和權(quán)限 信息安全領(lǐng)導(dǎo)辦公室 ? 決定實施風(fēng)險評估的時間和方法 ? 指導(dǎo) 風(fēng)險處理計劃的實施 與 檢查 ? 殘余風(fēng)險的批準(zhǔn)。 德信誠 培訓(xùn)網(wǎng) 更多免費資料下載請進(jìn)： 好好學(xué)習(xí)社區(qū) 圖 1 風(fēng)險評估要素關(guān)系圖 圖 1中方框部分的內(nèi)容為風(fēng)險評估的基本要素，橢圓部分的內(nèi)容是與這些要素相關(guān)的屬 性。 圖 1 中的風(fēng)險要素及屬性之間存在著以下關(guān)系： a） 業(yè)務(wù)戰(zhàn)略的實現(xiàn)對資產(chǎn)具有依賴性，依賴程度越高，要求其風(fēng)險越??； b） 資產(chǎn)是有價值的，組織的業(yè)務(wù)戰(zhàn)略對資產(chǎn)的依賴程度越高，資產(chǎn)價值就越大； c） 風(fēng)險是由威脅引發(fā)的，資產(chǎn)面臨的威 脅越多則風(fēng)險越大，并可能演變成為安全事件； d） 資產(chǎn)的脆弱性可能暴露資產(chǎn)的價值，資產(chǎn)具有的脆弱性越多則風(fēng)險越大； e） 脆弱性是未被滿足的安全需求，威脅利用脆弱性危害資產(chǎn)； f） 風(fēng)險的存在及對風(fēng)險的認(rèn)識導(dǎo)出安全需求； g） 安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價值考慮實施成本； h） 安全措施可抵御威脅，降低風(fēng)險； i） 殘余風(fēng)險有些是安全措施不當(dāng)或無效 ,需要加強(qiáng)才可控制的風(fēng)險；而有些則是在綜合考慮了安全成本與效益后不去控制的風(fēng)險； 德信誠 培訓(xùn)網(wǎng) 更多免費資料下載請進(jìn)： 好好學(xué)習(xí)社區(qū) j） 殘余風(fēng)險應(yīng)受到密切監(jiān)視，它可能會在將來誘發(fā)新的安全事件。 威 脅 出 現(xiàn) 的 頻 率脆 弱 性 的 嚴(yán) 重 程 度資 產(chǎn) 價 值安 全 事 件 的 可 能 性安 全 事 件 造 成 的 損 失風(fēng) 險 值威 脅 識 別脆 弱 性 識 別資 產(chǎn) 識 別 圖 2 風(fēng)險分析原理圖 風(fēng)險分析中要涉及資產(chǎn)、威脅、脆弱性三個基本要素。風(fēng)險分析的主要內(nèi)容為： ? 對資產(chǎn)進(jìn)行識別，并對資產(chǎn)的價值進(jìn)行賦值； ? 對威脅進(jìn)行識別，描述威脅的屬性，并對威脅出現(xiàn)的頻率賦值； ? 對脆弱性進(jìn)行識別，并對具體資產(chǎn)的脆弱性的嚴(yán)重程度賦值； ? 根據(jù)威脅及威脅利用 脆弱性的難易程度判斷安全事件發(fā)生的可能性； ? 根據(jù)脆弱性的嚴(yán)重程度及安全事件所作用的資產(chǎn)的價值計算安全事件造成的損失； ? 根據(jù)安全事件發(fā)生的可能性以及安全事件出現(xiàn)后的損失，計算安全事件一旦發(fā)生對公司的影響，即風(fēng)險值 。主要包括： 資產(chǎn)識別、威脅識別、脆弱性識別、影響與可能性 (影響與可能性中已考慮到目前控制措施的有效性因素 )。 風(fēng)險 接受原則 風(fēng)險等級處理的目的是為風(fēng)險管理過程中對不同風(fēng)險的直觀比較， 以確定公司安全策略。其他等級的風(fēng)
公司管理相關(guān)推薦
鄂ICP備17016276號-1