点击图片查看原图
武老师15383615001
风险评估与处理
资产识别是风险评估的首要任务，需全面梳理 ISMS 范围内的各类重要信息资产，涵盖硬件设备（如服务器、网络设备、存储设备等）、软件系统（包括操作系统、应用软件、数据库管理系统等）、数据（客户信息、财务数据、业务数据等）、文档（合同、技术文档、操作规程等）以及人员（涉及信息处理和管理的员工）等。对每一项资产，都要明确其价值、所有者和责任主体，为后续风险分析奠定基础。
在识别资产后，进行威胁和脆弱性分析。威胁来源广泛，包括外部的恶意攻击（如黑客入侵、网络钓鱼、恶意软件传播等）、自然灾害（火灾、洪水、地震等），以及内部的员工误操作、滥用权限、设备故障等。脆弱性则是指信息资产自身存在的弱点，如软件漏洞、弱密码策略、缺乏访问控制机制等。通过运用问卷调查、现场访谈、漏洞扫描工具、安全审计等多种方法，全面识别威胁和脆弱性，并结合资产价值，计算风险等级。例如，采用定性与定量相结合的方法，将风险可能性分为高、中、低三个等级，影响程度也分为重大、较大、一般三个级别，通过矩阵计算得出风险等级。
根据风险评估结果，选择合适的风险处理措施。对于高风险，应优先考虑规避或降低风险。如对于频繁遭受外部网络攻击的服务器，可采取增加防火墙规则、部署入侵检测系统（IDS）和入侵防御系统（IPS）等技术手段来降低风险；对于因员工安全意识薄弱导致的内部风险，可通过加强安全培训和制定严格的操作规范来降低风险。对于一些无法避免且影响较小的风险，可以选择接受，如因供应商不可抗力因素导致的短暂供货中断风险，但需制定相应的应急预案。对于某些风险，还可通过购买保险、签订服务水平协议（SLA）等方式转移风险 。
制定《适用性声明》（SoA）是这一阶段的关键成果，它详细列出了所有选定的和排除的附录 A 控制措施，并对选择或排除的理由进行充分说明。SoA 是审核员关注的核心文件之一，它展示了企业根据自身风险状况对标准控制措施的合理应用，体现了信息安全管理体系的针对性和有效性 。