iso27001信息安全風險評估管理辦法-閱讀頁
2024-09-25 00:54本頁面
【正文】 全措施替代。 P=(T*V), 失等級 L＝ (A*V), R＝ (L*P)，風險等級 風險值 1－ 5 6－ 10 11－ 15 16－ 20 21－ 25 風險等級 1 2 3 4 5 。公司在考慮接受殘余風險時的標準為只接受中或低范圍內的風險；但是對于必須投入很高的費用才能將殘余風險降為中或低的情況，則分階段實施控制。 ? 降低風險：通過實現(xiàn)安全措施來降低風險，從而將脆弱性被威脅源利用后可能帶來的不利影響最小化（如使用防火墻、漏洞掃描系統(tǒng)等安全產(chǎn)品）。 ? 轉移風險：通過使用其它措施來補償損失，從而轉移風險，如購買保險。如果是可接受風險，可保持已有的安全措施；如果是不可接受風險，則需要采取安全措施以降低、控制風險。 確定控制目標、控制措施和對策 基于在風險評估結果報告中提出的風險級別， ISMS小組對風險處理的工作進行優(yōu)先級排序。 ? 評估所建議的安全措施 ? 實施成本效益分析 ? 選擇安全措施 ? 制定安全措施的實現(xiàn)計劃 ? 實現(xiàn)所選擇的安全措施 殘余風險的監(jiān)視與處理 風險處理的最后過程中， ISMS小組應列舉出信息系統(tǒng)中所有殘余風險的清單。 每年年初評估信息系統(tǒng)安全風險時，對殘余風險和已確定的可接受的風險級別進行評審時，應考慮以下方面的變化： ? 組織結構； ? 技術； ? 業(yè)務目標和過程； ? 已識別的威脅； 惠州 培訓網(wǎng) 更多免費資料下載請進： 好好學習社區(qū) ? 已實施控制措施的有效性； ? 外部事件，如法律法規(guī)環(huán)境的變更、合同義務的變更和社會環(huán)境的變更?；谶@一判斷，管理層將做出決 策，決定是否允許信息系統(tǒng)運行。這時可以臨時批準信息系統(tǒng)投入運行。在臨時運行的時間段結束后，應重新評估殘余風險的可接受度。 《 GB/T209842020信息安全風險評估規(guī)范》 《信息資產(chǎn)管理制度》 錄 《信息資產(chǎn)識別表》 《重要資產(chǎn)清單》 《威脅 /脆弱性因素表》 《風險評估表》 《安全措施實施計劃》 《殘余風險清單》
公司管理相關推薦
鄂ICP備17016276號-1