ISO27001信息安全風(fēng)險(xiǎn)極其龐雜而又非常普遍，每種信息安全風(fēng)險(xiǎn)都是不同的。
信息安全風(fēng)險(xiǎn)可能是一個(gè)單一的風(fēng)險(xiǎn)，也可能是多種風(fēng)險(xiǎn)的組合；它可能是一般性的，也可能是特殊的；可能是人為有意的，也可能是無意的；可能在一個(gè)環(huán)節(jié)出現(xiàn)，也可能在多 個(gè)不同的層面、不同的時(shí)間出現(xiàn)。如果能系統(tǒng)地考慮所有信息安全風(fēng)險(xiǎn)，通過對不同層面、不同來源、不同階段的風(fēng)險(xiǎn)實(shí)施分門別類的管理，用一個(gè)系統(tǒng)的、穩(wěn)定 的、具備一致性的方法應(yīng)對風(fēng)險(xiǎn)，就能把信息安全風(fēng)險(xiǎn)降到最低。
ISO27001信息安全風(fēng)險(xiǎn)分類參考標(biāo)準(zhǔn)
目前國際上對信息安全風(fēng)險(xiǎn)進(jìn)行分類管理的權(quán)威標(biāo)準(zhǔn)有：
①ISO/IEC17799:2005 ——《信息技術(shù)-安全技術(shù)-信息安全管理實(shí)施細(xì)則》（Informati-on technology Security technology Code of practice for Information SecurityManagement）；
②NISTSP800-26——美國國家標(biāo)準(zhǔn)技術(shù)局NIST（NationalInstitute of Standards and Technology ）2001年12月發(fā)布的信息技術(shù)系統(tǒng)風(fēng)險(xiǎn)安全自評估指南；
③NISTSP800-53——美國聯(lián)邦信息系統(tǒng)最低安全控制準(zhǔn)則。
1）ISO/IEC 17799《信息安全風(fēng)險(xiǎn)管理細(xì)則》為大多數(shù)工商業(yè)組織提供了一個(gè)通用的信息安全風(fēng)險(xiǎn)管理參考標(biāo)準(zhǔn)，已被世界上許多國家所采用。ISO/IEC17799 主要是側(cè)重于組織安全風(fēng)險(xiǎn)和業(yè)務(wù)風(fēng)險(xiǎn)管理方面，是一個(gè)系統(tǒng)化、程序化和文檔化的信息安全風(fēng)險(xiǎn)管理體系。它涉及十一個(gè)安全風(fēng)險(xiǎn)的管理方面，36個(gè)控制目 標(biāo)，134項(xiàng)安全控制。這十一個(gè)安全風(fēng)險(xiǎn)管理方面是：
①安全策略；
②機(jī)構(gòu)安全；
③資產(chǎn)管理 ；
④人力資源安全；
⑤物理和環(huán)境安全 ；
⑥通信和操作管理；
⑦訪問控制；
⑧信息系統(tǒng)獲取、開發(fā) ；
⑨信息安全事件管理；
⑩業(yè)務(wù)連續(xù)性管理；
⑾符合性。
2）NISTSP800-26 《信息技術(shù)風(fēng)險(xiǎn)安全自評估指南》，是為信息系統(tǒng)管理人員進(jìn)行組織內(nèi)部風(fēng)險(xiǎn)評估、開發(fā)風(fēng)險(xiǎn)轉(zhuǎn)移計(jì)劃和進(jìn)行安全決策提供一個(gè)參考的文檔，是組織對自身信息系統(tǒng) 開展風(fēng)險(xiǎn)管理的一個(gè)好的選擇。評估指南是以調(diào)查問卷形式，采用層次結(jié)構(gòu)設(shè)計(jì)，調(diào)查范圍涉及主要信息系統(tǒng)、通用信息系統(tǒng)、支撐系統(tǒng)和內(nèi)部互聯(lián)系統(tǒng)。調(diào)查問題 分為管理控制、操作控制和技術(shù)控制三個(gè)主要方面，每個(gè)方面有一系列子項(xiàng)，共17項(xiàng)：
①風(fēng)險(xiǎn)管理；
②安全控制回顧 ；
③生命周期；
④資格認(rèn)證、鑒別；
⑤安全計(jì)劃；
⑥人員安全；
⑦物理安全；
⑧輸入輸出控制；
⑨連續(xù)性計(jì)劃；
⑩硬件和系統(tǒng)軟件維護(hù)；
⑾信息完整性；
⑿文檔；
⒀意識、培訓(xùn)和教育；
⒁事件反應(yīng)能力 ；
⒂身份認(rèn)證；
⒃訪問控制；
⒄審計(jì)和審核。
3）NISTSP800-53《美國聯(lián)邦信息系統(tǒng)最低安全控制準(zhǔn)則》，根據(jù)IT系統(tǒng)對機(jī)密性、完整性和可用性的低、中、高關(guān)注度，為其建立一組標(biāo)準(zhǔn)的最低安全控制。它分為管理控制、操作控制和技術(shù)控制三個(gè)種類，每一類都覆蓋了安全問題的不同方面，共十六個(gè)方面，包括：
⑴風(fēng)險(xiǎn)管理；
⑵系統(tǒng)開發(fā)和采集；
⑶配置管理；
⑷系統(tǒng)交互；
⑸人員安全；
⑹安全意識提升、教育培訓(xùn)；
⑺物理以及環(huán)境保護(hù)；
⑻媒介保護(hù)；
⑼應(yīng)急計(jì)劃；
⑽硬件與系統(tǒng)軟件維護(hù)；
⑾系統(tǒng)和數(shù)據(jù)的完整性；
⑿文檔記錄；
⒀事故響應(yīng)能力；
⒁識別和認(rèn)證；
⒂存取控制；
⒃審計(jì)和通訊。
確定了聯(lián)邦信息系統(tǒng)管理、技術(shù)和操作控制的底線。
中企檢測認(rèn)證網(wǎng)提供iso體系認(rèn)證機(jī)構(gòu)查詢，檢驗(yàn)檢測、認(rèn)證認(rèn)可、資質(zhì)資格、計(jì)量校準(zhǔn)、知識產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺(tái)。中企檢測認(rèn)證網(wǎng)為檢測行業(yè)相關(guān)檢驗(yàn)、檢測、認(rèn)證、計(jì)量、校準(zhǔn)機(jī)構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實(shí)驗(yàn)室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個(gè)問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測、認(rèn)證、商標(biāo)、專利、知識產(chǎn)權(quán)、版權(quán)法律法規(guī)知識資訊，包括商標(biāo)注冊、食品檢測、第三方檢測機(jī)構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測、環(huán)境檢測、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請、知識產(chǎn)權(quán)、檢測法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測認(rèn)證網(wǎng)為檢測認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測、認(rèn)證、知識產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場監(jiān)督總局 、國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)、質(zhì)量認(rèn)證中心
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請跟我們聯(lián)系刪除并致歉！
