世界事物是變化和發展的，每個事物都有一個發展的過程，風險的形成也是一樣。ISO27000信息安全風險的形成，首先要具備風險存在的內在條件；其次要具備風險存在的外在條件；最后還要具備外因與內因轉化為風險事件的條件。通過下圖，可以清晰反映出ISO27000信息安全風險因素的相互作用的情況。
信息安全風險因素的作用機制
從上圖，風險的構成包括五個方面：風險源、風險方式、風險途徑、風險受體和風險損失。它們之間相互依賴、相互作用，是一種因果關系，可以表達為：風險的一個或多個起源，采用一種或多種途徑，侵害一個或多個風險受體，造成風險損失。
風險源是威脅的發起方，稱為威脅源或威脅主體。
風險方式是威脅源實施威脅所采取的手段，稱為威脅行為。
風險途徑是威脅源實施威脅利用的薄弱環節，稱為脆弱性或漏洞。
風險受體是威脅的承受方，即信息系統。
風險損失是威脅源實施威脅所造成的損失，稱為影響。
（1）ISO27000信 息安全威脅的存在方式、存在條件、存在概率是形成風險的外在動力。信息安全威脅是以不同方式、不同條件，動態存在于信息系統生命周期的每一個階段。威脅來 源復雜，有來自內部的惡意和無意的員工、顧問、第三方人員，外部的黑客、情報組織、敵對國家、恐怖組織、間諜等；也有來自非人為的自然災害、事故或故障 等。這些威脅主體有著不同的動機和攻擊能力，或出于報復，或出于經濟利益，或出于政治目的，或具有高技能攻擊能力、或是使用簡單的攻擊工具。這些影響因素 交織在一起決定著威脅對信息系統的作用強度和發生概率。
（2）威脅通過脆弱性 作用于信息系統是形成風險的必經途徑。如果信息系統安全狀況良好，不存在可被利用的弱點，任何威脅都是無能為力的。但絕對安全的系統是不存在的，脆弱性是 信息系統固有的客觀現象，既有技術，又有管理和環境方面的脆弱性。在外來威脅的作用下，這些脆弱性的強弱成為誘發、導致、加速和減緩風險發生的內在動力。 風險環境的脆弱性程度決定著其被威脅利用的概率。
（3）信息系統的風險承受力 是威脅通過脆弱性作用于信息系統形成風險的轉化條件。信息系統的風險承受力反映的是信息系統受到攻擊等情況時，維持業務運行最基本的服務和保護信息資產的 抵抗力、識別力、恢復力和自適應力。抵抗力是一個系統抵抗攻擊的能力，識別力是系統識別攻擊和損壞程度的能力，恢復力是在受到攻擊后恢復系統的能力，自適 應力是根據歷史上受到攻擊或故障發生情況下防御和抵抗類似情況的能力。不同的組織的業務特點、規模、技術人員水平、安全需求標準、安全培訓教育水平能力、 員工安全意識強弱、實施的安全控制狀態、安全事件預警水平、應急響應能力都是不同，對風險的抵抗和防御表現也是不同的。當風險事件發生時，風險承受力相對 較強的組織可能會啟動應急方案、組織高水平的搶救團隊，使風險損失降低到組織可承受的范圍內；而風險承受力相對較弱的組織，可能會因為沒有方法來控制風險 而放任風險發生，造成巨大損失。
（4）風險的直接和間接損失是信息系統風險形 成的后果。在對威脅強度和威脅發生概率、脆弱性被威脅利用的概率、風險承受力的轉化概率進行分析估算的基礎上，預估信息系統風險發生時的直接和間接損失， 可以確定系統風險等級，為安全決策提供科學依據，采取相應的安全控制措施，提高信息系統的風險承受能力。
中企檢測認證網提供iso體系認證機構查詢，檢驗檢測、認證認可、資質資格、計量校準、知識產權貫標一站式行業企業服務平臺。中企檢測認證網為檢測行業相關檢驗、檢測、認證、計量、校準機構，儀器設備、耗材、配件、試劑、標準品供應商，法規咨詢、標準服務、實驗室軟件提供商提供包括品牌宣傳、產品展示、技術交流、新品推薦等全方位推廣服務。這個問題就給大家解答到這里了，如還需要了解更多專業性問題可以撥打中企檢測認證網在線客服13550333441。為您提供全面檢測、認證、商標、專利、知識產權、版權法律法規知識資訊，包括商標注冊、食品檢測、第三方檢測機構、網絡信息技術檢測、環境檢測、管理體系認證、服務體系認證、產品認證、版權登記、專利申請、知識產權、檢測法、認證標準等信息，中企檢測認證網為檢測認證商標專利從業者提供多種檢測、認證、知識產權、版權、商標、專利的轉讓代理查詢法律法規，咨詢輔導等知識。
本文內容整合網站：百度百科、搜狗百科、360百科、知乎、市場監督總局 、國家認證認可監督管理委員會、質量認證中心
免責聲明：本文部分內容根據網絡信息整理，文章版權歸原作者所有。向原作者致敬！發布旨在積善利他，如涉及作品內容、版權和其它問題，請跟我們聯系刪除并致歉！
