ISO27001認(rèn)證信息風(fēng)險(xiǎn)評估 目的：實(shí)施風(fēng)險(xiǎn)評估，識別不可接受風(fēng)險(xiǎn)，明確管理目標(biāo)。 內(nèi)容：風(fēng)險(xiǎn)評估是整個(gè)風(fēng)險(xiǎn)管理的基礎(chǔ)，本階段將根據(jù)前期策劃的風(fēng)險(xiǎn)評估方法。 包括：a. 根據(jù)業(yè)務(wù)要求及信息的密級劃分，對信息資產(chǎn)的重要程度進(jìn)行判定，識別對關(guān)鍵核心業(yè)務(wù)具有關(guān)鍵 作用的信息資產(chǎn)清單;對重要信息資產(chǎn)從內(nèi)部及外部識別其所面臨的威脅; b. 根據(jù)威脅，從管理和技術(shù)兩方面識別重要信息資產(chǎn)所存在的薄弱點(diǎn); c. 根據(jù)風(fēng)險(xiǎn)評估的方法指南，對威脅利用薄弱點(diǎn)對重要信息資產(chǎn)所產(chǎn)生的風(fēng)險(xiǎn)在保密性、完整性、可 用性三方面所造成的影響進(jìn)行評價(jià);評價(jià)威脅利用薄弱點(diǎn)引發(fā)風(fēng)險(xiǎn)事件的可能性; d. 根據(jù)風(fēng)險(xiǎn)影響及發(fā)生的可能性評價(jià)風(fēng)險(xiǎn)等級; e. 根據(jù)信息方針，各核心業(yè)務(wù)流程的要求，與管理層進(jìn)行溝通，確定不可接受風(fēng)險(xiǎn)等級的標(biāo) 準(zhǔn); f. 針對不可接受的高風(fēng)險(xiǎn)，制定風(fēng)險(xiǎn)處理計(jì)劃，從ISO27002及顧問的行業(yè)經(jīng)驗(yàn)來選擇適宜的風(fēng)險(xiǎn)管 控措施;實(shí)施所選擇的控制措施，降低、轉(zhuǎn)移或風(fēng)險(xiǎn); g. 編寫風(fēng)險(xiǎn)評估報(bào)告。

并非所有風(fēng)險(xiǎn)都同樣重要，這并不奇怪。有些風(fēng)險(xiǎn)發(fā)生的可能性要低得多，而另一些風(fēng)險(xiǎn)如果你不阻止它們，肯定會(huì)發(fā)生。同樣，有些風(fēng)險(xiǎn)如果確實(shí)發(fā)生，就會(huì)造成很多問題，而另一些風(fēng)險(xiǎn)則很難產(chǎn)生問題，或者在發(fā)生時(shí)很容易修復(fù)。甚至重要的是要考慮當(dāng)風(fēng)險(xiǎn)發(fā)生時(shí)，它有多可能注意到事件-如果它可能被忽視，但會(huì)造成大量的麻煩，那么努力確保它不發(fā)生可能是至關(guān)重要的。 對于那些熟悉使用失敗模式和效果分析(FMEA)過程的人，會(huì)了解每個(gè)識別的風(fēng)險(xiǎn)都是根據(jù)效果的嚴(yán)重程度、發(fā)生的可能性和由于控制到位而被檢測的機(jī)會(huì)來評估的。認(rèn)證 例如，如果供應(yīng)商通知您他將停止制造組件，您可能會(huì)將風(fēng)險(xiǎn)評估為非常重大，因?yàn)檫@將阻礙您向客戶交付產(chǎn)品的能力。第二個(gè)例子，如果設(shè)備磨損會(huì)在一個(gè)過程中產(chǎn)生不良部件，如果廢料的成本很低，而且檢測的機(jī)會(huì)很高，可能不是一個(gè)重大的風(fēng)險(xiǎn)。在你的評估中，你會(huì)想看看三件事：嚴(yán)重程度、發(fā)生和可檢測度。如果風(fēng)險(xiǎn)發(fā)生，問題會(huì)造成多嚴(yán)重？風(fēng)險(xiǎn)有多大可能發(fā)生？？如果問題發(fā)生了，你有多可能發(fā)現(xiàn)它？即使您沒有使用正式的FMEA模板，使用這些評估標(biāo)準(zhǔn)將幫助您確定風(fēng)險(xiǎn)是否足夠大，以做一些事情。