ISO27001認(rèn)證信息安全風(fēng)險評估

時間：2020-08-24作者：廣匯聯(lián)合（北京）認(rèn)證服務(wù)有限公司瀏覽：127

ISO27001認(rèn)證信息安全風(fēng)險評估，是實施風(fēng)險評估的前提，為了保證評估過程的可控性以及評估結(jié)果的客觀性，在信息安全風(fēng)險評估實施前應(yīng)進(jìn)行充分的準(zhǔn)備和計劃信息安全風(fēng)險評估的準(zhǔn)備活動包括：

 
(1)確定信息安全風(fēng)險評估的目標(biāo)
在ISO27001信息安全風(fēng)險評估準(zhǔn)備階段應(yīng)明確風(fēng)險評估的目標(biāo)，為信息安全風(fēng)險評估的過程提供導(dǎo)向。信息安全需求是一個組織為保證其業(yè)務(wù)正常、有效運轉(zhuǎn)而必須達(dá)到的信息安全要求，通過分析組織必須符合的相關(guān)法律法規(guī)、組織在業(yè)務(wù)流程中對信息安全等的保密性、完整性、可用性等方面的需求，來確定信息安全險評估的目標(biāo)。
(2)確定信息安全風(fēng)險評估的范圍
既定的ISO27001信息安全風(fēng)險評估可能只針對組織全部資產(chǎn)的一個子集，評估范圍必須明確。描述范圍較重要的是對于評估邊界的描述。評估的范圍可能是單個系統(tǒng)或者是多個關(guān)聯(lián)的系統(tǒng)比較好的方法是按照物理邊界和邏輯邊界來描述某次風(fēng)險評估的范圍。
(3)組建適當(dāng)?shù)脑u估管理與實施團(tuán)隊
在評估的準(zhǔn)備階段，評估組織應(yīng)成立專門的評估團(tuán)隊，具體執(zhí)行組織的信息安全風(fēng)險評估。團(tuán)隊成員應(yīng)包括評估單位**、信息安全風(fēng)險評估*、技術(shù)*，還應(yīng)該包括管理層、業(yè)務(wù)部門、人力資源、IT系統(tǒng)和來自用戶的代表。
(4)進(jìn)行系統(tǒng)調(diào)研
系統(tǒng)調(diào)研是確定被評估對象的過程。風(fēng)險評估團(tuán)隊?wèi)?yīng)進(jìn)行充分的系統(tǒng)調(diào)研，為信息安全風(fēng)險評估依據(jù)和方法的選擇、評估內(nèi)容的實施奠定基礎(chǔ)。調(diào)研內(nèi)容至少應(yīng)包括：業(yè)務(wù)戰(zhàn)略及管理制度、主要的業(yè)務(wù)功能和要求;網(wǎng)絡(luò)結(jié)構(gòu)與網(wǎng)絡(luò)環(huán)境，包括內(nèi)部連接和外部連接、系統(tǒng)邊界;主要的硬件、軟件：數(shù)據(jù)和信息、統(tǒng)和數(shù)據(jù)的敏感性;支持和使用系統(tǒng)的人員。
(5)確定信息安全風(fēng)險評估依據(jù)和方法
ISO27001信息安全風(fēng)險評估依據(jù)包括現(xiàn)有**或國家有關(guān)信息安全標(biāo)準(zhǔn)、組織的行業(yè)主管機(jī)關(guān)的業(yè)務(wù)系統(tǒng)的要求和制度、組織的信息系統(tǒng)互聯(lián)單位的安全要求、組織的信息系統(tǒng)本身的實時性或性能要求等。根據(jù)信息安全評估風(fēng)險依據(jù)，并綜合考慮信息安全風(fēng)險評估的目的、范圍、時間、效果、評估人員素質(zhì)等因素，選擇具體的風(fēng)險計算方法，并依據(jù)組織業(yè)務(wù)實施對系統(tǒng)安全運行的需求.確定相關(guān)的評估剡斷依據(jù)，使之能夠與組織壞境和安全要求相適應(yīng)。
(6)制定信息安全風(fēng)險評估方案
ISO27001信息安全風(fēng)險評估方案的內(nèi)容一般包括：團(tuán)隊組織：包括評估團(tuán)隊成員、組織結(jié)構(gòu)、角色、責(zé)任等內(nèi)容。工作計劃、信息安全風(fēng)險評估各階段的工作計劃，包括工作內(nèi)容、工作形式、工作成果等內(nèi)容、時間進(jìn)度安排、項目實施的時間進(jìn)度安排。
(7)獲得較高管理者對信息安全風(fēng)險評估工作的支持
ISO27001信息安全風(fēng)險評估需要相關(guān)的財力和人力的支持，管理層必須以明示的方式表明對評估活動的支持，對資源調(diào)配做出承諾，并對信息安全風(fēng)險評估小組賦予足夠的權(quán)利，信息安全風(fēng)險評估活動才能順利進(jìn)行。
在做好風(fēng)險評估的準(zhǔn)備工作之后，需要對企業(yè)當(dāng)前的信息安全系統(tǒng)進(jìn)行資產(chǎn)識別、威脅識別和脆弱性識別。
如您想較詳細(xì)的了解更多認(rèn)證資訊，請您網(wǎng)絡(luò)搜索廣匯聯(lián)合，快人一步，成就管理者風(fēng)范。
廣匯聯(lián)合：壹 叁 陸 捌 壹 零 陸 肆 貳 貳 捌

如您想較詳細(xì)的了解更多認(rèn)證資訊，請您網(wǎng)絡(luò)搜索廣匯聯(lián)合，快人一步，成就管理者風(fēng)范。
廣匯聯(lián)合：壹 叁 陸 捌 壹 零 陸 肆 貳 貳 捌

如您想較詳細(xì)的了解更多認(rèn)證資訊，請您網(wǎng)絡(luò)搜索廣匯聯(lián)合，快人一步，成就管理者風(fēng)范。
廣匯聯(lián)合：壹 叁 陸 捌 壹 零 陸 肆 貳 貳 捌


廣匯聯(lián)合（北京）認(rèn)證服務(wù)有限公司專注于服務(wù)認(rèn)證,IT信息管理認(rèn)證 ,三體系認(rèn)證等

• 詞條

  詞條說明

• 詳細(xì)了解ISO27001信息安全管理體系！

  “信息”作為一種商業(yè)資產(chǎn)，其重要性也是與日俱增。信息安全，按照**標(biāo)準(zhǔn)化組織提出的ISO27001中的概念，需要保證信息的“保密性”、“完整性”和“可用性”。 時至今日，“信息”作為一種商業(yè)資產(chǎn)，其所擁有的**對于一個組織而言毋庸置疑，重要性也是與日俱增。通俗地講，就是要保護(hù)信息免受來自各方面的威脅，從而確保一個組織或機(jī)構(gòu)可持續(xù)發(fā)展。 如何快速了解ISO27001信息安全管理體系認(rèn)證，下面一起來學(xué)

• 如何建立信息安全管理體系

  信息安全管理體系ISMS（Information Securitry Management Systems）是組織在整體或特定范圍內(nèi)建立信息安全方針和目標(biāo)，以及完成這些目標(biāo)所用方法的體系。它基于業(yè)務(wù)風(fēng)險方法，用來建立、實施、運行、監(jiān)視、 評審、保持和改進(jìn)組織的信息安全系統(tǒng)，其目的是**組織的信息安全。它是直接管理活動的結(jié)果，表示成方針、原則、目標(biāo)、方法、過程、檢查表等要素的集合， 涉及到人、程序和

• ISO27001信息安全管理體系認(rèn)證釋義

  ISO/IEC17799-2000（BS7799-1）對信息安全管理給出建議，供負(fù)責(zé)在其組織啟動、實施或維護(hù)安全的人員使用。該標(biāo)準(zhǔn)為開發(fā)組織的安全標(biāo)準(zhǔn)和有效的安全管理做法提供公共基礎(chǔ)，并為組織之間的交往提供信任。 標(biāo)準(zhǔn)指出“象其他重要業(yè)務(wù)資產(chǎn)一樣，信息也是一種資產(chǎn)”。它對一個組織具有**，因此需要加以合適地保護(hù)。信息安全防止信息受到的各種威脅，以確保業(yè)務(wù)連續(xù)性，使業(yè)務(wù)受到損害的風(fēng)險減至較小，使投資

• BS7799, ISO17799與ISO27001的關(guān)系

  信息安全發(fā)展至今，人們越來越認(rèn)識到安全管理在整個信息安全建設(shè)過程中的重要性，而作為信息安全管理方面較著名的**標(biāo)準(zhǔn)——ISO27001（即之前所稱的BS7799標(biāo)準(zhǔn)），則成為可以指導(dǎo)我們現(xiàn)實工作的較好的參照。 BS7799是英標(biāo)準(zhǔn)準(zhǔn)協(xié)會（British Standards InstituteBSI于1995年2月制定的信息安全管理標(biāo)準(zhǔn)，分兩個部分，其**部分于2000年被ISO組織采納，正式成為I