营口ISO27001信息安全管理体系认证服务

ISO27001信息安全管理体系标准介绍之七

6.1.2 信息安全风险评估

组织应定义并应用信息安全风险评估过程，以：

a) 建立和维护信息安全风险准则，包括:

1) 风险接受准则；

2) 信息安全风险评估实施准则。

b) 确保重复的信息安全风险评估可产生一致的、有效的和可比较的结果；

c) 识别信息安全风险：

1) 应用信息安全风险评估过程，以识别信息安全管理体系范围内与信息保密性、完整性和可用性损失有关的风险；

2）识别风险责任人；

d) 分析信息安全风险：

1）评估6.1.2 c) 1)中所识别的风险发生后，可能导致的潜在后果；

2) 评估6.1.2 c) 1)中所识别的风险实际发生的可能性；

3) 确定风险级别；

e) 评价信息安全风险：

1) 将风险分析结果与6.1.2 a)中建立的风险准则进行比较；

2) 排列已分析风险的优先顺序，以便于风险处置。

组织应保留信息安全风险评估过程的文件化信息。