企业新闻

处置( Treating)安全风险

2018-04-13 11:38:42 | 来源:中培企业IT培训网

4.2 处置( Treating)安全风险。本节的描述要比GB/T 22080-2008/IS()/IEC 27001: 2005明确得多。“在考虑风险处置前,组织宜确定风险是否能被接受的准则。如果经评估显示,风险较低或处理成本对于组织来说不划算,则风险可被接受。”本段描述, 比较清晰地说明了风险接受的原则。

和GB/T 22080-2008/ISO/IEC 27001: 2005一样,在本标准中也给出了四个常见的风险处置选项:处理、转移、规避和接受。

对风险处理决定中要采用适当控制措施的那些风险来说,宜选择和实施这些控制措施以满足风险评估所识别的要求。控制措施应确保在考虑以下因素的情况下,将风险降低到可接受级别:

a)国家和国际法律法规的要求和约束;

b)组织的目标;

c)运行要求和约束;

d)降低风险相关的实施和运行的成本,并使之与组织的要求和约束相称; e)平衡控制措施实施和运行的投资与安全失误可能导致的损害的需要。

控制措施可以从本标准或其他控制集合中选择,或者设计新的控制措施以满足组织的特定需求。认识到有些控制措施并不是对每一种信息系统或环境都适用,并且不是对所有组织都可行,这一点非常重要。例如,10.1.3描述如何分割责任,以防止欺诈或错误。在较小的组织中分割所有责任是不太可能的,实现同一控制目标的其他方法可能是必要的。另外一个例子,10. 10描述如何监视系统使用及如何收集证据。所描述的控制措施,例如事件日志, 可能与适用的法律相冲突,诸如顾客或在工作场地内的隐私保护。

信息安全控制措施应在系统和项目需求说明书和设计阶段予以考虑。做不到这一点可能导致额外的成本和低效率的解决方案,最坏的情况下可能达不到足够的安全。

此外,还指明了“控制措施可以从本标准或其他控制措施集中选择,或者设计新的控制措施以满足组织的特定需求”,但是同时指出“宜谨记,没有一个控制措施集合能实现全部的安全(It should be kept in mind that no set of controls can achieve complete security)"。

标签: 信息安全