<menuitem id="1k45x"><dfn id="1k45x"><menu id="1k45x"></menu></dfn></menuitem>
<track id="1k45x"><div id="1k45x"></div></track>

<track id="1k45x"><div id="1k45x"><address id="1k45x"></address></div></track>

      <menuitem id="1k45x"><dfn id="1k45x"></dfn></menuitem>

       深圳市领誉企业管理顾问有限公司

      体系认证|客户验厂|社会责任验厂

      全国咨询热线 136-8231-1625 0755-23207145

      联系领誉contact us

      联系人:黄先生
      手   机:13682311625
      座   机:0755-23207145
      邮   箱:3188425575@qq.com
      地   址:深圳市宝安区沙井街道中心路108号锐钧商务大厦10楼10F

      ISO27001:2013风险评估的主要内容及方法?认证周期?

      作者: 深圳市领誉企业管理顾问有限公司 发表时间:2019-02-16 10:11:56浏览量:789

      文本标签:

      ISO270012013信息安全风险评估的主要内容及方法?

      ISO270012013信息安全风险评估的实施主要有以下内容:
      1)资产识别
      2)资产的安全属性赋值及权重计算
      3)威胁分析
      4)薄弱点分析
      5)威胁发生可能性及影响分析
      6)风险计算
      7)风险处理计划制定

      ISO270012013风险评估是一项综合的系统工程,既涉及到技术,又涉及到管理。风险评估过程中既需要采用技术的检测手段,又需要进行综合的归纳、总结和分析方法。

      ISO270012013风险评估中资产价值的判断、威胁判断、安全事件造成影响的判断标准都需要根据被评估实际情况,与被评估方共同确定。

       

      ISO270012013信息安全风险评估是否会影响系统的业务正常运行?

       

      除针对服务器的漏洞扫描、诊断及渗透性测试外,风险评估不会对系统的业务运行造成影响。即使是渗透性测试,也仅仅是为了验证漏洞存在给系统可能造成的后果(如文件窃取、控制修改关键程序/进程等),而不是以破坏系统为目的。评估人员在执行渗透性测试前,会将详细的渗透测试方案与用户交流,包括渗透测试对象、测试强度、可能后果、提前备份等要求,并经用户认可后方能实施。

       

      ISO270012013信息安全风险评估的结果形式是什么?

      信息安全风险评估在评估过程中将生成一系列的风险评估操作记录,包括:重要资产列表、脆弱性汇总表、资产威胁识别表、资产威胁风险系数表、信息资产综合风险值表等,最后将生成三份评估结果:
      脆弱性评估报告:以资产为核心,描述该资产存在的薄弱点。
      风险评估报告:反映了风险评估整个过程、方法、内容及风险结果。
      风险处理计划:针对识别的风险,提出具体的控制目标和控制措施。

       

      ISO270012013信息安全风险评估的周期有多长

      信息安全风险评估没有确定的时间周期,一般两年一次进行定期的评估,但当组织新增信息资产、系统发生重大变更、业务流程发生重大变化、发生严重信息安全事故等情况下应进行风险评估。
      此外,对系统规划、扩建时也需要进行风险评估,为安全需求、安全策略的制定提供依据。

       

      2019-02-16 789人浏览