ISO27001認(rèn)證以風(fēng)險(xiǎn)為中心的信息安全風(fēng)險(xiǎn)的構(gòu)成要素
ISO/IEC13335 是國際標(biāo)準(zhǔn)組織發(fā)布的《IT信息安全管理指南》，是一個(gè)信息安全管理方面的指導(dǎo)性標(biāo)準(zhǔn)。其中ISO/IEC13335-1：2002《信息安全管理和計(jì)劃的概念和模型》，以風(fēng)險(xiǎn)為中心，確定了資產(chǎn)、威脅、脆弱性、影響、風(fēng)險(xiǎn)、防護(hù)措施、剩余風(fēng)險(xiǎn)為信息安全風(fēng)險(xiǎn)的要素，并描述了要素的相互關(guān)系。
（1）風(fēng)險(xiǎn)要素
① 資產(chǎn)
資產(chǎn)是組織成功的關(guān)鍵信息或資源，是信息安全保護(hù)的主要對象。它包括物理硬件、軟件、產(chǎn)品生產(chǎn)和服務(wù)能力、人員和其它無形資產(chǎn)。
② 威脅
威 脅是潛在的能導(dǎo)致信息安全風(fēng)險(xiǎn)事件并對組織及其資產(chǎn)造成損害的活動。它可以通過IT系統(tǒng)或者服務(wù)，直接或間接地作用于信息系統(tǒng)，并導(dǎo)致非授權(quán)破壞、泄露、 修改、損壞、不可用的損失。威脅必須利用資產(chǎn)固有的脆弱性才能完成對資產(chǎn)的損害，它可能來自人為的或非人為的、可能是故意或無意的、可能是來自環(huán)境的威 脅。
③ 脆弱性
脆弱性是資產(chǎn)在與其相關(guān)的物理環(huán)境、組織、策略、人員、管理、監(jiān)控、硬件、軟件和信息方面所固有的弱點(diǎn)。脆弱性是最有可能被威脅利用并造成對組織信息系統(tǒng)和業(yè)務(wù)目標(biāo)的損害。
④ 影響
影響是風(fēng)險(xiǎn)事件發(fā)生，對資產(chǎn)造成的后果，使一定資產(chǎn)或信息系統(tǒng)的機(jī)密性、完整性、可用性、不可否認(rèn)、可審計(jì)性、真實(shí)性和可靠性遭到破壞。
包括直接和非直接的影響，比如：金融損失、市場份額損失或形象損失。
⑤ 風(fēng)險(xiǎn)
風(fēng)險(xiǎn)是一定威脅利用資產(chǎn)脆弱性造成組織損失或破壞的潛在程度。它是由風(fēng)險(xiǎn)事件發(fā)生的可能性和它的影響來決定。任何資產(chǎn)、威脅、脆弱性和安全防護(hù)措施的變化都能對風(fēng)險(xiǎn)產(chǎn)生重要的影響。及時(shí)檢測或確定信息系統(tǒng)及其環(huán)境的變化，采取適當(dāng)?shù)拇胧?，可以降低風(fēng)險(xiǎn)。
⑥ 安全防護(hù)措施
安全防護(hù)措施是抵抗威脅、減少脆弱性、限制風(fēng)險(xiǎn)事件影響、檢測風(fēng)險(xiǎn)事件和恢復(fù)的安全實(shí)踐、策略和機(jī)制。有效的安全是在資產(chǎn)的多個(gè)層面提供安全防護(hù)措施，來預(yù)防、阻止、檢測、限制、糾正、恢復(fù)、監(jiān)視安全事件。
在物理環(huán)境、技術(shù)環(huán)境、人員和管理實(shí)施安全防護(hù)，是保證信息安全的基本要求。
⑦ 殘余風(fēng)險(xiǎn)
風(fēng)險(xiǎn)不可能完全消除，有些風(fēng)險(xiǎn)由于安全成本問題，在滿足組織安全需求的前提下，成為殘余的風(fēng)險(xiǎn)。
⑧ 其它要素
（2）風(fēng)險(xiǎn)要素關(guān)系
風(fēng)險(xiǎn)要素之間存在著多種關(guān)系，ISO/IEC13335-1，以風(fēng)險(xiǎn)為中心，清晰表示了資產(chǎn)面臨的安全風(fēng)險(xiǎn)與其它風(fēng)險(xiǎn)因素之間的關(guān)系，如下圖。
ISO/IEC 13335 風(fēng)險(xiǎn)要素關(guān)系
① 支撐組織業(yè)務(wù)運(yùn)行的關(guān)鍵資產(chǎn)，如果對資產(chǎn)的依賴程度越大，在攻擊者利用脆弱性發(fā)動威脅時(shí)，面臨著非授權(quán)暴露、修改、否認(rèn)信息、信息服務(wù)不可用或損壞的風(fēng)險(xiǎn)也越大，對組織資產(chǎn)和業(yè)務(wù)造成負(fù)面影響，因此引出安全保護(hù)需求；
② 威脅利用脆弱性作用于關(guān)鍵資產(chǎn)，共同引發(fā)風(fēng)險(xiǎn)，威脅越多風(fēng)險(xiǎn)越大，風(fēng)險(xiǎn)的存在導(dǎo)出安全保護(hù)需求；
③ 脆弱性可能暴露資產(chǎn)價(jià)值，資產(chǎn)具有的弱點(diǎn)越多，風(fēng)險(xiǎn)越大，風(fēng)險(xiǎn)的存在導(dǎo)出未被滿足的安全保護(hù)需求；
④ 安全保護(hù)需求可通過安全防護(hù)措施得以滿足。
⑤ 安全防護(hù)措施的實(shí)施，可以抵御威脅，減少脆弱性，降低風(fēng)險(xiǎn)。
中企檢測認(rèn)證網(wǎng)提供iso體系認(rèn)證機(jī)構(gòu)查詢，檢驗(yàn)檢測、認(rèn)證認(rèn)可、資質(zhì)資格、計(jì)量校準(zhǔn)、知識產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺。中企檢測認(rèn)證網(wǎng)為檢測行業(yè)相關(guān)檢驗(yàn)、檢測、認(rèn)證、計(jì)量、校準(zhǔn)機(jī)構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實(shí)驗(yàn)室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個(gè)問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測、認(rèn)證、商標(biāo)、專利、知識產(chǎn)權(quán)、版權(quán)法律法規(guī)知識資訊，包括商標(biāo)注冊、食品檢測、第三方檢測機(jī)構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測、環(huán)境檢測、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請、知識產(chǎn)權(quán)、檢測法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測認(rèn)證網(wǎng)為檢測認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測、認(rèn)證、知識產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場監(jiān)督總局 、國家認(rèn)證認(rèn)可監(jiān)督管理委員會、質(zhì)量認(rèn)證中心
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請跟我們聯(lián)系刪除并致歉！
