3 - 风险管理原则风险管理课件高校辅导员考试.docxVIP

第三课 风险管理原则

本课目录

本课目录

1、概念

1、概念

2、风险管理原则

3、风险评估原则

4、风险管理（评估）原则修订

中中国国信信息息安安全全认认证证中中心心

2 信信息息安安全全保保障障人人员员认认证证

第三课风险管理原则

第三课

风险管理原则

中国信息安全认证中心信息安全保障人员认证PAGE

中国信息安全认证中心信息安全保障人员认证

PAGE10

一、概念

风险管理原则：

风险管理原则是指组织在实施风险管理的整个过程中，为了提高风险管理效率的行为准则，一经制定发布，组织或单位在各个层次都得无条件的、必须遵守。

风险管理原则包括风险管理原则的11项原则和风险评

估的xx项原则。

二、风险管理11项原则：

1）风险管理应当能够创造和保护价值

2）风险管理应当是整合在所有单位过程中的部分

3）风险管理支持决策

4）风险管理可以解决不确定问题

5）风险管理是有体系的、结构化的并且是及时性的

6）风险管理是基于最可用的信息

7）风险管理应当是量体裁衣的

8）风险管理应当考虑人文因素

9）风险管理应当是透明和可兼容的

10）风险管理是动态的、迭代的并且能够应对变化的

11）风险管理实现单位的持续改进

二、风险管理11项原则：

1）风险管理应当能够创造和保护价值

风险管理有助于明确目标和改进绩效，例如，在健康安全、法律、项目管理等方面。

二、风险管理11项原则：

2）风险管理应当是整合在所有单位过程中的部分

风险管理不孤立于组织过程。风险管理属于管理职责的一部分，并整合在所有组织过程中的一部分，包括战略规划、所有项目、变更管理过程。

二、风险管理11项原则：

3）风险管理支持决策

风险管理可以帮助决策者做出明智的选择、优先的措施以及可以辨别接下去的行动方向。

?

二、风险管理11项原则：

4）风险管理可以解决不确定问题

?

风险管理明确地阐述了组织中的不确定性、不确定性的性质和解决不确定性的方法。

二、风险管理11项原则：

5）风险管理是有体系的、结构化的并且是及时性的

有体系的、及时的和有结构化的风险管理方法有助于提高效率并且取得一致、可量化和可靠的结果。

二、风险管理11项原则：

6）风险管理是基于最可用的信息

风险管理过程的输入基于信息源，如历史数据、经验、利益相关方的反馈、观察、预测和专家的判断。

决策者应考虑数据或所使用模型的局限性和专家之间分

歧所具备的可能性。

二、风险管理11项原则：

7）风险管理应当是量体裁衣的

风险管理是与组织的外部和内部状况及风险状况想匹配的。

二、风险管理11项原则：

8）风险管理应当考虑人文因素

风险管理应当要及时意识到可能促进或阻碍组织目标实现的内部和外部人员的能力、观念和意图。

二、风险管理11项原则：

9）风险管理应当是透明和可兼容的

?

利益相关方、尤其是组织各层面的决策者适当、及时地参与，确保了风险管理中保持各方的联系和及时的更新。

参与过程也允许利益相关方适当地发表意见，并将其观

点考虑到风险准则的制定中。

二、风险管理11项原则：

10）风险管理是动态的、迭代的并且能够应对变化的

风险管理能够及时察觉和影响变化。由于外部和内部事件发生，状况和知识在改变，风险的监测和评审始终在执行，随时应对风险出现、改变和消失。

二、风险管理11项原则：

11）风险管理实现组织或单位的持续改进

组织应当制定并且实施战略，协同组织的其他方面共同改进风险管理。

三、风险评估六项原则：

1）标准性原则

2）关键业务原则

3）可控性原则

4）最小影响原则

5）可恢复性原则

6）保密性原则

三、风险评估六项原则：

1）标准性原则

评估信息系统的安全风险，应按照国家、行业或部门的标准中规定

评估流程实施，对各阶段的工作进行评估。

实际评估中，应根据不同监管部门的要求和实际信息系统的状况，选择相应的标准。

涉及风险评估的部分国家、行业标准：

GB/T20984-2007信息技术安全技术信息系统灾难恢复规范

风险评估行业标准：

JRT0072-2012金融行业信息系统信息安全等级保护测评指南

JRT0068-2012网上银行系统信息安全通用规范

三、风险评估六项原则：

2）关键业务原则

被评估组织的关键业务是信息安全风险评估工作的核心，涉及这些业务的相关网络与系统是评估工作的重点，包括

基础网络、应用基础平台、业务网络、业务应用平台等。

三、风险评估六项原则：

3）可控性原则

服务可控性：评估方应先于用户进行评估沟通会议，介绍整个评估服务的工作流程，明确用户需要提供的工作内容，保障整个安全评估服务工作的顺利进行。

人员与信息可控性：所有评估的工作人员均应签署保密协议，以保证项目信息的安全；应严格管理好工作过程中产生的中间数据和最后的结果数据，未经授权不得泄露给任何