ISO27001信息安全風險極其龐雜而又非常普遍，每種信息安全風險都是不同的。
信息安全風險可能是一個單一的風險，也可能是多種風險的組合;它可能是一般性的，也可能是特殊的;可能是人為有意的，也可能是無意的;可能在一個環節出現，也可能在多 個不同的層面、不同的時間出現。如果能系統地考慮所有信息安全風險，通過對不同層面、不同來源、不同階段的風險實施分門別類的管理，用一個系統的、穩定 的、具備一致性的方法應對風險，就能把信息安全風險降到最低。
ISO27001信息安全風險分類參考標準
目前國際上對信息安全風險進行分類管理的權威標準有：
?、買SO/IEC17799:2005 ——《信息技術-安全技術-信息安全管理實施細則》(Informati-on technology Security technology Code of practice for Information SecurityManagement);
?、贜ISTSP800-26——美國國家標準技術局NIST(NationalInstitute of Standards and Technology )2001年12月發布的信息技術系統風險安全自評估指南;
?、跱ISTSP800-53——美國聯邦信息系統最低安全控制準則。
1)ISO/IEC 17799《信息安全風險管理細則》為大多數工商業組織提供了一個通用的信息安全風險管理參考標準，已被世界上許多國家所采用。ISO/IEC17799 主要是側重于組織安全風險和業務風險管理方面，是一個系統化、程序化和文檔化的信息安全風險管理體系。它涉及十一個安全風險的管理方面，36個控制目 標，134項安全控制。這十一個安全風險管理方面是：
①安全策略;
?、跈C構安全;
?、圪Y產管理 ;
?、苋肆Y源安全;
?、菸锢砗铜h境安全 ;
?、尥ㄐ藕筒僮鞴芾?
?、咴L問控制;
⑧信息系統獲取、開發 ;
?、嵝畔踩录芾?
?、鈽I務連續性管理;
?、戏闲?。
2)NISTSP800-26 《信息技術風險安全自評估指南》，是為信息系統管理人員進行組織內部風險評估、開發風險轉移計劃和進行安全決策提供一個參考的文檔，是組織對自身信息系統 開展風險管理的一個好的選擇。評估指南是以調查問卷形式，采用層次結構設計，調查范圍涉及主要信息系統、通用信息系統、支撐系統和內部互聯系統。調查問題 分為管理控制、操作控制和技術控制三個主要方面，每個方面有一系列子項，共17項：
?、亠L險管理;
?、诎踩刂苹仡?;
③生命周期;
?、苜Y格認證、鑒別;
?、莅踩媱?
?、奕藛T安全;
?、呶锢戆踩?
⑧輸入輸出控制;
?、徇B續性計劃;
?、庥布拖到y軟件維護;
?、闲畔⑼暾?
?、形臋n;
?、岩庾R、培訓和教育;
?、沂录磻芰?;
⒂身份認證;
?、栽L問控制;
?、諏徲嫼蛯徍恕?/p>
3)NISTSP800-53《美國聯邦信息系統最低安全控制準則》，根據IT系統對機密性、完整性和可用性的低、中、高關注度，為其建立一組標準的最低安全控制。它分為管理控制、操作控制和技術控制三個種類，每一類都覆蓋了安全問題的不同方面，共十六個方面，包括：
?、棚L險管理;
?、葡到y開發和采集;
⑶配置管理;
⑷系統交互;
?、扇藛T安全;
?、拾踩庾R提升、教育培訓;
?、宋锢硪约碍h境保護;
⑻媒介保護;
⑼應急計劃;
?、斡布c系統軟件維護;
?、舷到y和數據的完整性;
?、形臋n記錄;
?、咽鹿薯憫芰?
?、易R別和認證;
⒂存取控制;
?、詫徲嫼屯ㄓ?。
確定了聯邦信息系統管理、技術和操作控制的底線。
共有條評論 網友評論