ISO27005信息安全技术风险管理白皮书1.docx

ISO/IEC 27005:2008 信息技术–安全技术–信息安全风险管理 Information Technology – Security techniques - Information security risk management 目 录 前言 4 介绍 5 范围 6 规范性引用文件 6 术语和定义 6 本国际标准的结构 8 背景 9 信息安全风险管理过程概述 10 确定范畴 13 7.1. 总则 13 基本准则 13 范围和边界 16 信息安全的组织架构 17 信息安全风险评估 17 信息安全风险评估综述 17 风险分析 18 风险识别 18 风险估算 23 风险评价 27 信息安全风险处置 28 风险处置综述 28 风险降低 31 风险保持 32 风险回避 32 风险转移 33 信息安全风险的接受 33 信息安全风险的沟通 34 信息安全监视和评审 35 监视和评审风险因子 35 风险管理监视、评审和改进 37 附录 A （资料性） 界定信息安全风险管理过程的范围和边界 38 对组织进行研究 38 影响组织的约束清单 39 适用于组织的法律法规的参考清单 42 影响范围的约束清单 42 附录 B （资料性） 资产的识别和赋值以及影响评估 44 资产识别的例子 44 基本资产的识别