(5)確定息風(fēng)險評估依據(jù)和方法

 

  ISO27001息風(fēng)險評估依據(jù)包括現(xiàn)有國際或 有關(guān)息標(biāo)準(zhǔn)、組織的行業(yè)主管的業(yè)務(wù)系統(tǒng)的要求和制度、組織的息系統(tǒng)互聯(lián)單位的要求、組織的息系統(tǒng) 本身的實時性或性能要求等。根據(jù)息評估風(fēng)險依據(jù)，并綜合考慮息K險評估的目的、范圍、時間、效果、評估人員素質(zhì)等因素，選擇具體的風(fēng)險計算方 法，并依據(jù)組織業(yè)務(wù)實施對系統(tǒng)運行的需求.確定相關(guān)的評估剡斷依據(jù)，使之能夠與組織壞境和要求相適應(yīng)。

息系統(tǒng)的風(fēng)險承受力 是威脅通過脆弱性作用于息系統(tǒng)形成風(fēng)險的轉(zhuǎn)化條件。息系統(tǒng)的風(fēng)險承

 

受力反映的是息系統(tǒng)受到攻擊等情況時，維持業(yè)務(wù)運行基本的服務(wù)和保護息資產(chǎn)的 抵抗力、識別

 

力、恢復(fù)力和自適應(yīng)力。抵抗力是一個系統(tǒng)抵抗攻擊的能力，識別力是系統(tǒng)識別攻擊和損壞程度的能力，

 

恢復(fù)力是在受到攻擊后恢復(fù)系統(tǒng)的能力，自適 應(yīng)力是根據(jù)歷史上受到攻擊或故障發(fā)生情況下防御和抵抗

 

類似情況的能力。不同的組織的業(yè)務(wù)特點、規(guī)模、技術(shù)人員水平、需求標(biāo)準(zhǔn)、培訓(xùn)教育水平能力

 

、 員工意識強弱、實施的控制狀態(tài)、事件預(yù)警水平、應(yīng)急響應(yīng)能力都是不同，對風(fēng)險的抵

 

抗和防御表現(xiàn)也是不同的。當(dāng)風(fēng)險事件發(fā)生時，風(fēng)險承受力相對 較強的組織可能會啟動應(yīng)急方案、組織

 

高水平的搶救團隊，使風(fēng)險損失降低到組織可承受的范圍內(nèi)；而風(fēng)險承受力相對較弱的組織，可能會因為

 

沒有方法來控制風(fēng)險 而放任風(fēng)險發(fā)生，造成巨大損失。

4)進行系統(tǒng)調(diào)研

 

  系統(tǒng)調(diào)研是確定被評估對象的過程。風(fēng)險評估團隊?wèi)?yīng)進行充分的系統(tǒng)調(diào)研，為息風(fēng)險評估依據(jù)和方法的選擇、評估內(nèi)容的實施奠定基礎(chǔ)。調(diào)研內(nèi)容至少應(yīng)包括：業(yè)務(wù)戰(zhàn)略及管理制度、主要的業(yè)務(wù)功能和要求;網(wǎng)絡(luò)結(jié)構(gòu)與網(wǎng)絡(luò)環(huán)境，包括內(nèi)部連接和外部連接、系統(tǒng)邊界;主要的硬件、軟件：數(shù)據(jù)和息、統(tǒng)和數(shù)據(jù)的敏感性;支持和使用系統(tǒng)的人員。