11 - 风险评价风险管理课件.docxVIP

下载本文档

0
0
约5.22千字
约 34页
2026-01-01 发布于浙江
举报
版权申诉

11 - 风险评价风险管理课件.docx

此“教育”领域文档为创作者个人分享资料，不作为权威性指导和指引，仅供参考

1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击这里二次下载。
3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
4、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
5、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
6、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
7、VIP文档为合作方或网友上传，每下载1次，网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档

第5章风险评价

本章目录

风险评价的定义、目的及作用

风险评价标准

风险评价决策内容

残余风险及其评价

案例分析

评估报告

中中国国信信息息安安全全认认证证中中心心

2 信信息息安安全全保保障障人人员员认认证证

风险评价的定义、目的及作用

中国信息安全认证中心信息安全保障人员认证PAGE

中国信息安全认证中心信息安全保障人员认证

PAGE3

定义

在风险管理领域，风险评价被定义为：“将风险分析的结果与风险准则相比较、以决定风险或其大小是否可接受或可容忍的过程”。

目的

风险评价的目的是为企业或组织有效的控制各类风险，从源头控制事故和危害发生的基础条件，从而使事故频率降到最低，危害损失降到最少。

作用

一是更准确地认识风险；二是保证目标规划的合理性和计划的可行性；三是合理选择风险对策，形成最佳风险对策组合。

本章目录

风险评价的定义、目的及作用

风险评价标准

风险评价决策内容

残余风险及其评价

案例分析

评估报告

评价标准

如何建立评价标准

风险评价的标准建立的依据：

（1）有关安全法律、法规要求

（2）行业的设计规范、技术标准

（3）企业的安全管理标准、技术标准

（4）合同规定

（5）企业的安全方针以及目标理念等

常见的评价标准

（1）业务信息过程的战略价值

（2）相关信息资产的危急程度

（3）法律法规的要求和合同的义务

（4）运营和业务的可用性、保密性、完整性的重要程度

（5）利益相关方的期望和认知，以及对信誉和名声的负面影响

本章目录

风险评价的定义、目的及作用

风险评价标准

风险评价决策内容

残余风险及其评价

案例分析

评估报告

风险评价

风险评价是根据组织或信息系统面临的各种风险等级，通过对不同等级的安全风险进行统计、分析，并依据各等级风险所占全部风险的百分比，确定总体风险状况。

信息安全保障人员认证

具体风险评价可参见下表：

风险等级

占全部风险百分比

总体风险评价结果

高

中

低

很高

≥10%

高

≥30%

高

中等

≥30%

中

低

很低

低

中国信息安全认证中心

风险评价决策内容

风险评价利用风险分析过程中所获得的对风险的认识，来对未来的行动进行决策。道德、法律、资金以及包括风险偏好在内的因素都是决策的参考信息。

中国信息安全认证中心

决策内容包括：

某个风险是否需要应对

风险的应对优先次序

是否应开展某项应对活动

应该采取哪种途径

中国信息安全认证中心

在进行风险决策时，需提前确定制定的决策的性质以及决策所依据的准则。然后在风险评价阶段，对以上问题进行更深入的分析。

如果该风险是新识别的风险，则应当制定相应的风险准则，以

便评价该风险。

中国信息安全认证中心

风险评价结果

按照安全工程领域的“最低合理可行”原则(AsLowAsReasonably

Practicable，简称ALARP)可将风险评价结果划分为三个等级段：

指无论活动能带来什么利益，风

上段险等级都是无法容忍的，必须不

惜代价进行风险应对

指无论活动能带来什么利益，风

中段险等级都是无法容忍的，必须不

惜代价进行风险应对

下段指风险等级微不足道，或者风险很小，无需采取风险应对措施

下段

中国信息安全认证中心

本章目录

中国信息安全认证中心信息安全保障人员认证PAGE

中国信息安全认证中心信息安全保障人员认证

PAGE21

风险评价的定义、目的及作用

风险评价标准

风险评价决策内容

残余风险及其评价

案例分析

评估报告

残余风险及其评价

防护措施只能减少一部分风险。如果要减少更多的风险则必须花费更多的成本。这就意味着通常会有残余风险的存在。

管理人员应明确了解所有残余风险会造成的影响和事件发生的可能性。接受残余风险的决策应由以下两种人员做出：其职位可以接受该影响或不希望事件发生的后果；如果残余风险的等级不可接受，其可以授权实行进一步的防护措施。

残余风险评价：

1）对于不可接受范围内的风险，在选择适当的控制措施后，对残余风险进

行评价。

2）由管理层依据其风险评估的准则判定风险是否已经降低到可接受的水平，考虑选择的控制措施和已有的控制措施对于降低威胁发生的可能性的作用。

您可能关注的文档

文档评论（0）

分享资料 + 关注: 实名认证

文档贡献者

所有文档来自网络，如有涉密，请私信删除

咨询Ta 进入空间

1亿VIP精品文档

更多 >

11 - 风险评价风险管理课件.docxVIP