05-ISO IEC 27001：2013-标准系列培训课程-信息安全风险管理

:2013课程信息安全风险管理过程风险评估环境建立风险识别风险分析风险评价风险处置沟通和磋商监视和评审风险评估环境建立风险识别风险分析风险评价风险处置风险接受满足？满足？风险沟通和磋商风险监视和评审风险决策点1评估满足风险决策点2处置满足NONOYESYES第一次结束或随后重复信息安全风险评估过程ISO31000风险评估过程信息安全风险管理过程信息安全风险管理过程风险评估环境建立风险识别风险分析风险评价风险处置沟通和磋商监视和评审9.绩效评价ISO/IEC27001:20136.1.3.信息安全风险处置ISO/IEC27001:20136.1.2.信息安全风险评估ISO/IEC27001:20137.支持ISO/IEC27001:20134.组织背景ISO/IEC27001:2013信息安全风险管理过程ISMS的调整和风险管理过程ISMS过程信息安全风险管理过程计划（P）建立环境风险评估开发风险计划风险接受实施（D）实施风险处置计划检查（C）持续监视和评审风险改进（A）维持和改进信息安全风险管理过程信息安全风险管理确定环境信息1风险评估2风险处置3风险接受４沟通与磋商５监视和评审６信息安全风险管理过程风险评估环境建立风险识别风险分析风险评价风险处置风险接受满足？满足？风险沟通和磋商风险监视和评审风险决策点1评估满足风险决策点2处置满足NONOYESYES第一次结束或随后重复信息安全风险管理过程确定环境信息①外部环境信息②内部环境信息输入①基本准则说明②范围和边界说明③组织架构说明输出①确定基本准则②确定范围和边界③确定组织架构过程实施指南1.确定信息安全风险评估的宗旨：①支持ISMS②符合法律和尽职调查的证据③准备业务连续性计划④准备事件响应计划⑤描述某个产品、服务或机制对信息安全要求确定环境信息外部环境信息externalcontext组织寻求实现其目标的外部环境。注：外部环境可包括：文化、社会、政治、法律法规、财政金融、技术、经济、自然和竞争环境，无论国际、国家、区域或地方对组织目标具有影响的主要驱动和趋势。与外部利益相关方的关系和其感受和价值观。[ISO导则73:2009,定义3.3.1.1]内部环境信息internalcontext组织寻求实现其目标的外部环境。注：内部状况可包括：治理、组织结构、作用和责任；方针、目标、以及实现它们的战略；以资源和知识来理解的能力（如资本、时间、人员、过程、系统和技术）；信息系统、信息流和决策过程（正式和非正式的）；与内部利益相关方的关系、以及他们的感受和价值观；组织的文化；标准、指南和组织采用的模式；合同关系的形式和范围[ISO导则73:2009,定义3.3.1.2]确定环境信息基本准则风险管理方法风险评价准则影响准则风险接受准则范围和边界组织架构风险管理方法根据风险管理的范围和目标的不同，可能采用不同的方法。对于每一循环，所采用的方法也可能不同。一个合适的风险管理方法应该选择或开发基本准则，如风险评价准则、影响准则、风险接受准则。确定环境信息工具及技术风险评估过程风险识别风险分析风险评价后果可能性风险等级头脑风暴法SA1A2AAA结构化/半结构化访谈SAAAAA德尔菲法SAAAAA情景分析SASAAAA检查表SANA3NANANA预先危险分析SANANANANA失效模式和效应分析（FMEA）SANANANANA危险与可操作性分析（HAZOP）SASANANASA危险分析与关键控制点（HACCP）SASANANASA保护层分析法SANANANANA结构化假设分析(SWIFT)SASASASASA风险矩阵SASASASAA人因可靠性分析SASASASAA以可靠性为中心的维修SASASASASA业务影响分析ASAAAA根原因分析ANASASANA工具及技术风险评估过程风险识别风险分析风险评价后果可能性风险等级潜在通路分析ANANANANA因果分析ASANAAA风险指数ASASAASA故障树分析NAAAAA事件树分析NASASAANA决策树分析NASASAAABow-tie法NAASASAA层次分析法（AHP）NASASASASA在险值（VaR）法NASASASASA均值—方差模型NAAAASA资本资产定价模型NANANANASAFN曲线ASASAASA马尔可夫分析法ANASANANA蒙特卡罗模拟法NASASASASA贝叶斯分析NANASANASA1）SA表示非常适用；2）A表示适用；3）NA表示不适用。风险评估技术确定环境信息风险评估技术的特征风险评估方法及技术说明影响因素能否提供定量结果资源与能力不确定性的性质与程度复杂性头脑风暴法及结构化访谈一种收集各种观点及评价并将其在团队内进行评级的方法。头脑风暴法可由提示、一对一以及一对多的访谈技术所激发。低低低否德尔菲法一种综合各类专家观点并促其一致的方法，这些观点有利于支持风险源及影响的识别、可能性与后果分析以及风险评价。需要独立分析和专家投票。中中中否情景分析在想象和推测的基础上，对可能发生的未来情景加以描述。可以通过正式或非正式的、定性或定量的手段进行情景分析。中高中否检查表一种简单的风险识别技术，提供了一系列典型的需要考虑的不确定性因素。使用者可参照以前的风险清单、规定或标准。低低低否预先危险分析（PHA）PHA是一种简单的归纳分析方法，其目标是识别风险以及可能危害特定活动、设备或系统的危险性情况及事项。低高中否失效模式和效应分析（FMEA）FMEA是一种识别失效模式、机制及其影响的技术。有几类FMEA：设计（或产品）FMEA，用于部件及产品；系统FMEA；过程FMEA，用于加工及组装过程；还有服务FMEA及软件FMEA。中中中是危险与可操作性分析（HAZOP）HAZOP是一种综合性的风险识别过程，用于明确可能偏离预期绩效的偏差，并可评估偏离的危害度。它使用一种基于引导词的系统。中高高否危险分析与关键控制点（HACCP）HACCP是一种系统的、前瞻性及预防性的技术，通过测量并监控那些应处于规定限值内的具体特征来确保产品质量、可靠性以及过程的安全性。中中中否保护层分析法保护层分析，也被称作障碍分析，它可以对控制及其效果进行评价。中中中是结构化假设分析（SWIFT）一种激发团队识别风险的技术，通常在引导式研讨班上使用，并可用于风险分析及评价。中中任何否风险矩阵风险矩阵（RiskMatrix）是一种将后果分级与风险可能性相结合的方式。中中中是确定环境信息风险评估技术的特征风险评估方法及技术说明影响因素能否提供定量结果资源与能力不确定性的性质与程度复杂性人因可靠性分析人因可靠性分析（HRA）主要关注系统绩效中人为因素的作用，可用于评价人为错误对系统的影响。中中中是以可靠性为中心的维修以可靠性为中心的维修（RCM）是一种基于可靠性分析方法实现维修策略优化的技术，其目标是在满足安全性、环境技术要求和使用工作要求的同时，获得产品的最小维修资源消耗。通过这项工作，用户可以找出系统组成中对系统性能影响最大的零部件及其维修工作方式。中中中是业务影响分析分析重要风险影响组织运营的方式，同时明确如何对这些风险进行管理。中中中否根原因分析对发生的单项损失进行分析，以理解造成损失的原因以及如何改进系统或过程以避免未来出现类似的损失。分析应考虑发生损失时可使用的风险控制方法以及怎样改进风险控制方法。中低中否潜在通路分析潜在分析（SA）是一种用于识别设计错误的技术。潜在通路是指能够导致出现非期望的功能或抑制期望功能的状态，这些不良状态的特点具有随意性，在最严格的标准化系统检查中也不一定检测到。中中中否因果分析综合运用故障树分析和事件树分析，并允许时间延误。初始事件的原因和后果都要予以考虑。高中高是风险指数风险指数可以提供一种有效的划分风险等级的工具。中低中是故障树分析始于不良事项（顶事件）的分析并确定该事件可能发生的所有方式，并以逻辑树形图的形式进行展示。在建立起故障树后，就应考虑如何减轻或消除潜在的风险源。高高中是事件树分析运用归纳推理方法将各类初始事件的可能性转化成可能发生的结果。中中中是决策树分析对于决策问题的细节提供了一种清楚的图解说明。高中中是确定环境信息风险评估技术的特征风险评估方法及技术说明影响因素能否提供定量结果资源与能力不确定性的性质与程度复杂性Bow-tie法一种简单的图形描述方式，分析了风险从危险发展到后果的各类路径，并可审核风险控制措施。可将其视为分析事项起因（由蝶形图的结代表）的故障树和分析后果的事件树这两种方法的结合体。中高中是层次分析法（AHP）定性与定量分析相结合，适合于多目标、多层次、多因素的复杂系统的决策。中任何任何是在险值（VaR）法基于统计分析基础上的风险度量技术，可有效描述资产组合的整体市场风险状况。中低高是均值—方差模型将收益和风险相平衡，可应用于投资和资产组合选择。中低中是资本资产定价模型清晰地阐明了资本市场中风险与收益的关系。高低高是FN曲线FN曲线通过区域块来表示风险，并可进行风险比较，可用于系统或过程设计以及现有系统的管理。高中中是马尔可夫分析法马尔可夫分析通常用于对那些存在多种状态（包括各种降级使用状态）的可维修复杂系统进行分析。高低高是蒙特卡罗模拟法蒙特卡罗模拟用于确定系统内的综合变化，该变化产生于多个输入数据的变化，其中每个输入数据都有确定的分布，而且输入数据与输出结果有着明确的关系。该方法能用于那些可将不同输入数据之间相互作用计算确定的具体模型。根据输入数据所代表的不确定性的特征，输入数据可以基于各种分布类型。风险评估中常用的是三角或贝塔分布。高低高是贝叶斯分析贝叶斯分析是一种统计程序，利用先验分布数据来评估结果的可能性，其推断的准确程度依赖于先验分布的准确性。贝叶斯信念网通过捕捉那些能产生一定结果的各种输入数据之间的概率关系来对原因及效果进行模拟。高低高是确定环境信息头脑风暴法事项内容概述指刺激并鼓励一群知识渊博的人员畅所欲言，以发现潜在的失效模式及相关危险、风险、决策标准或处理办法。泛指各种形式的小组讨论。用途可与其它方法一起使用，或单独使用，用于激发想象力。可用于发现问题的高层讨论，或更细致的评审。输入召集一个熟悉被评估的组织、系统、过程或应用的专家团队活动讨论会之前，主持人准备好与讨论内容相关的一系列问题及思考提示确定讨论会的目标并解释规则引导员首先介绍一系列想法，然后大家探讨各种观点，尽量多发现问题当某一方向的思想已充分挖掘或讨论偏离主题太远，引导进入新的方向收集尽可能多的不同观点，以便进行后面的分析输出取决于该结果所应用的风险管理过程的阶段。如，识别阶段，输出可能是风险及当前控制手段的清单优点有助于发现新的风险和全新的解决方案让主要利益相关者参与其中，有助于进行全面沟通速度较快且易于开展局限参与者可能缺乏必要的技术及知识，无法提出有效的建议相对松散，较难保证过程的全面性可能会出现特殊的小组状况，导致某些重要观点的人保持沉默而其他人成为讨论的主角确定环境信息风险矩阵法事项内容概述是一种将定性或半定量的后果分级与产生一定水平的风险或风险等级的可能性相结合的方式。矩阵格式及适用的定义取决于使用背景，关键是要在这种情况下使用合适的设计。用途可用来根据风险等级对风险、风险来源或风险应对进行排序。作为一种筛查工具：确定哪些风险需更细致的分析；哪些风险无需进一步考虑。可用于FMECA（失效模式、效应和危害度分析）危险度分析。可用于HAZOP（危险与可操作性分析）结束后确定先后顺序。当缺乏足够数据进行细致分析，或无法保证进一步定量分析的时间和精力时，可采用后果可能性矩阵。输入输入数据为个性化的后果和可能性等级，以及将两者结合起来的矩阵活动首先发现最适合当时情况的后果描述符，然后界定那些结果发生的可能性。很多事项会有各种后果，并有各种不同的相关的