IT项目风险评估的常见失误.docxVIP

IT项目风险评估的常见失误 在企业试图对IT的安全作出更好的决策时，最重要的就是IT风险评估。作为风险管理的基础，风险评估是组织确定信息安全需求的一个重要途径，属于组织信息安全管理体系策划的过程。从信息安全的角度来讲，风险评估是风险评估对信息资产（即某事件或事物所具有的信息集）所面临的威逼、存在的弱点、造成的影响，以及三者综合作用所带来风险的可能性的评估。  然而，虽然企业进行了风险评估，但他们经常出现一些错误，从而大大降低了风险评估的效果。下面是企业需要避免的10个风险评估错误。  1、遗忘评估第三方风险  大多数IT风险专家都认为，现在大部分企业都没有评估供应商和其他合作伙伴的基础设施的风险，而这些基础设施通常会触及企业最敏感的的数据。  咨询公司SystemExperts公司副总裁Brad Johnson表示，“许多企业做得不够的方面是管理与第三方供应商的关系。当企业没有真正进行其尽职调查(无论是在签订合同之前还是之后)，他们势必将错过关键的细节信息，这将提高风险。举例来说，客户公司可能不知道其供应商将其受规管的数据存储在公共云中。”  2、评估过于量化  诚然，分析和数字对于风险评估特别重要。但企业需要了解，这个数字游玩并不需要过于追求完美，特殊是当涉及评估安全泄露事故的影响时。  “对安全事故