企业新闻

风险评估和处理( treatment)

2018-04-13 11:37:55 | 来源:中培企业IT培训网

4.风险评估和处理( treatment)

注意,本标题中将treatment翻译为处理,在4.2中及其他地方一般翻译为“处置”, 与风险评估的术语保持了一致。

4.1评估安全风险。本节对于风险评估并没有给出具体方法,而仅仅作了整体的指导。组织可以按照GB/T 22080-2008/ISO/IEC 27001: 2005对风险评估的要求结合本节中的描述来选择合适的风险评估方法。具体如下(原文中没有分节和编号):

a)风险评估宜对照风险接受准则和组织相关目标,识别、量化并区分风险的优先次序。

b)风险评估的结果宜指导并确定适当的管理措施及其优先级,以管理信息安全风险并为防范这些风险实施选择的控制措施。

c)风险评估应使用一种能够产生可比较和可再现结果的系统化的方式。

注:这是对风险评估的整体要求,风险评估的结果是为了指导控制措施的选择,那么其结果必须体现风险的优先次序,即至少得分出个等级来。注意这里谈到的量化( quantify)风险,不是量化的风险评估方法,应该是区分风险大小而引进的量化。

d)评估风险和选择控制措施的过程可能需要执行多次,以覆盖组织的不同部门或各个信息系统。为使信息安全风险评估有效,它应有一个清晰定义的范围。如果合适,应包括与其他领域风险评估的关系。如果可行、实际和有帮助,风险评估的范围既可以是整个组织、组织的一部分、单个的信息系统、特定的系统部件,也可以是服务。

e)风险评估还宜定期进行,以应对安全要求和风险情形的变化,例如资产、威胁、 脆弱性、影响、风险评价,发生重大变化时也应进行风险评估。

注:这是对风险评估的范围和执行时间进行了指导,比较明确。

f)风险评估宜包括估计风险大小的系统方法(风险分析),将估计的风险与风险准则加以比较以确定风险严重性的过程(风险评价)。

注:对风险评估的过程进行指导,远没有GB/T 22080- 2008/IS()/IEC 27001: 2005中详细。 g)风险评估方法的例子在IS()/IEC TR 13335 -3中讨论。

注:本条款在GB/T 22080--2008/IS()/1EC 27001: 2005中也有,这是对选择方法的更实际的引导。

标签: 风险评估

猜你喜欢