世界事物是變化和發(fā)展的，每個(gè)事物都有一個(gè)發(fā)展的過程，風(fēng)險(xiǎn)的形成也是一樣。ISO27000信息安全風(fēng)險(xiǎn)的形成，首先要具備風(fēng)險(xiǎn)存在的內(nèi)在條件；其次要具備風(fēng)險(xiǎn)存在的外在條件；最后還要具備外因與內(nèi)因轉(zhuǎn)化為風(fēng)險(xiǎn)事件的條件。通過下圖，可以清晰反映出ISO27000信息安全風(fēng)險(xiǎn)因素的相互作用的情況。
信息安全風(fēng)險(xiǎn)因素的作用機(jī)制
從上圖，風(fēng)險(xiǎn)的構(gòu)成包括五個(gè)方面：風(fēng)險(xiǎn)源、風(fēng)險(xiǎn)方式、風(fēng)險(xiǎn)途徑、風(fēng)險(xiǎn)受體和風(fēng)險(xiǎn)損失。它們之間相互依賴、相互作用，是一種因果關(guān)系，可以表達(dá)為：風(fēng)險(xiǎn)的一個(gè)或多個(gè)起源，采用一種或多種途徑，侵害一個(gè)或多個(gè)風(fēng)險(xiǎn)受體，造成風(fēng)險(xiǎn)損失。
風(fēng)險(xiǎn)源是威脅的發(fā)起方，稱為威脅源或威脅主體。
風(fēng)險(xiǎn)方式是威脅源實(shí)施威脅所采取的手段，稱為威脅行為。
風(fēng)險(xiǎn)途徑是威脅源實(shí)施威脅利用的薄弱環(huán)節(jié)，稱為脆弱性或漏洞。
風(fēng)險(xiǎn)受體是威脅的承受方，即信息系統(tǒng)。
風(fēng)險(xiǎn)損失是威脅源實(shí)施威脅所造成的損失，稱為影響。
（1）ISO27000信 息安全威脅的存在方式、存在條件、存在概率是形成風(fēng)險(xiǎn)的外在動(dòng)力。信息安全威脅是以不同方式、不同條件，動(dòng)態(tài)存在于信息系統(tǒng)生命周期的每一個(gè)階段。威脅來 源復(fù)雜，有來自內(nèi)部的惡意和無意的員工、顧問、第三方人員，外部的黑客、情報(bào)組織、敵對(duì)國家、恐怖組織、間諜等；也有來自非人為的自然災(zāi)害、事故或故障 等。這些威脅主體有著不同的動(dòng)機(jī)和攻擊能力，或出于報(bào)復(fù)，或出于經(jīng)濟(jì)利益，或出于政治目的，或具有高技能攻擊能力、或是使用簡(jiǎn)單的攻擊工具。這些影響因素 交織在一起決定著威脅對(duì)信息系統(tǒng)的作用強(qiáng)度和發(fā)生概率。
（2）威脅通過脆弱性 作用于信息系統(tǒng)是形成風(fēng)險(xiǎn)的必經(jīng)途徑。如果信息系統(tǒng)安全狀況良好，不存在可被利用的弱點(diǎn)，任何威脅都是無能為力的。但絕對(duì)安全的系統(tǒng)是不存在的，脆弱性是 信息系統(tǒng)固有的客觀現(xiàn)象，既有技術(shù)，又有管理和環(huán)境方面的脆弱性。在外來威脅的作用下，這些脆弱性的強(qiáng)弱成為誘發(fā)、導(dǎo)致、加速和減緩風(fēng)險(xiǎn)發(fā)生的內(nèi)在動(dòng)力。 風(fēng)險(xiǎn)環(huán)境的脆弱性程度決定著其被威脅利用的概率。
（3）信息系統(tǒng)的風(fēng)險(xiǎn)承受力 是威脅通過脆弱性作用于信息系統(tǒng)形成風(fēng)險(xiǎn)的轉(zhuǎn)化條件。信息系統(tǒng)的風(fēng)險(xiǎn)承受力反映的是信息系統(tǒng)受到攻擊等情況時(shí)，維持業(yè)務(wù)運(yùn)行最基本的服務(wù)和保護(hù)信息資產(chǎn)的 抵抗力、識(shí)別力、恢復(fù)力和自適應(yīng)力。抵抗力是一個(gè)系統(tǒng)抵抗攻擊的能力，識(shí)別力是系統(tǒng)識(shí)別攻擊和損壞程度的能力，恢復(fù)力是在受到攻擊后恢復(fù)系統(tǒng)的能力，自適 應(yīng)力是根據(jù)歷史上受到攻擊或故障發(fā)生情況下防御和抵抗類似情況的能力。不同的組織的業(yè)務(wù)特點(diǎn)、規(guī)模、技術(shù)人員水平、安全需求標(biāo)準(zhǔn)、安全培訓(xùn)教育水平能力、 員工安全意識(shí)強(qiáng)弱、實(shí)施的安全控制狀態(tài)、安全事件預(yù)警水平、應(yīng)急響應(yīng)能力都是不同，對(duì)風(fēng)險(xiǎn)的抵抗和防御表現(xiàn)也是不同的。當(dāng)風(fēng)險(xiǎn)事件發(fā)生時(shí)，風(fēng)險(xiǎn)承受力相對(duì) 較強(qiáng)的組織可能會(huì)啟動(dòng)應(yīng)急方案、組織高水平的搶救團(tuán)隊(duì)，使風(fēng)險(xiǎn)損失降低到組織可承受的范圍內(nèi)；而風(fēng)險(xiǎn)承受力相對(duì)較弱的組織，可能會(huì)因?yàn)闆]有方法來控制風(fēng)險(xiǎn) 而放任風(fēng)險(xiǎn)發(fā)生，造成巨大損失。
（4）風(fēng)險(xiǎn)的直接和間接損失是信息系統(tǒng)風(fēng)險(xiǎn)形 成的后果。在對(duì)威脅強(qiáng)度和威脅發(fā)生概率、脆弱性被威脅利用的概率、風(fēng)險(xiǎn)承受力的轉(zhuǎn)化概率進(jìn)行分析估算的基礎(chǔ)上，預(yù)估信息系統(tǒng)風(fēng)險(xiǎn)發(fā)生時(shí)的直接和間接損失， 可以確定系統(tǒng)風(fēng)險(xiǎn)等級(jí)，為安全決策提供科學(xué)依據(jù)，采取相應(yīng)的安全控制措施，提高信息系統(tǒng)的風(fēng)險(xiǎn)承受能力。
中企檢測(cè)認(rèn)證網(wǎng)提供iso體系認(rèn)證機(jī)構(gòu)查詢，檢驗(yàn)檢測(cè)、認(rèn)證認(rèn)可、資質(zhì)資格、計(jì)量校準(zhǔn)、知識(shí)產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺(tái)。中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)行業(yè)相關(guān)檢驗(yàn)、檢測(cè)、認(rèn)證、計(jì)量、校準(zhǔn)機(jī)構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實(shí)驗(yàn)室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個(gè)問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測(cè)認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測(cè)、認(rèn)證、商標(biāo)、專利、知識(shí)產(chǎn)權(quán)、版權(quán)法律法規(guī)知識(shí)資訊，包括商標(biāo)注冊(cè)、食品檢測(cè)、第三方檢測(cè)機(jī)構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測(cè)、環(huán)境檢測(cè)、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請(qǐng)、知識(shí)產(chǎn)權(quán)、檢測(cè)法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測(cè)、認(rèn)證、知識(shí)產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識(shí)。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場(chǎng)監(jiān)督總局 、國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)、質(zhì)量認(rèn)證中心
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請(qǐng)跟我們聯(lián)系刪除并致歉！
