ISO27001信息安全風險的構成要素：以風險為中心的信息安全風險的構成要素
ISO/IEC13335 是國際標準組織發布的《IT信息安全管理指南》，是一個信息安全管理方面的指導性標準。其中ISO/IEC13335-1：2002《信息安全管理和計劃的概念和模型》，以風險為中心，確定了資產、威脅、脆弱性、影響、風險、防護措施、剩余風險為信息安全風險的要素，并描述了要素的相互關系。
（1）風險要素
① 資產
資產是組織成功的關鍵信息或資源，是信息安全保護的主要對象。它包括物理硬件、軟件、產品生產和服務能力、人員和其它無形資產。
② 威脅
威 脅是潛在的能導致信息安全風險事件并對組織及其資產造成損害的活動。它可以通過IT系統或者服務，直接或間接地作用于信息系統，并導致非授權破壞、泄露、 修改、損壞、不可用的損失。威脅必須利用資產固有的脆弱性才能完成對資產的損害，它可能來自人為的或非人為的、可能是故意或無意的、可能是來自環境的威 脅。
③ 脆弱性
脆弱性是資產在與其相關的物理環境、組織、策略、人員、管理、監控、硬件、軟件和信息方面所固有的弱點。脆弱性是最有可能被威脅利用并造成對組織信息系統和業務目標的損害。
④ 影響
影響是風險事件發生，對資產造成的后果，使一定資產或信息系統的機密性、完整性、可用性、不可否認、可審計性、真實性和可靠性遭到破壞。
包括直接和非直接的影響，比如：金融損失、市場份額損失或形象損失。
⑤ 風險
風險是一定威脅利用資產脆弱性造成組織損失或破壞的潛在程度。它是由風險事件發生的可能性和它的影響來決定。任何資產、威脅、脆弱性和安全防護措施的變化都能對風險產生重要的影響。及時檢測或確定信息系統及其環境的變化，采取適當的措施，可以降低風險。
⑥ 安全防護措施
安全防護措施是抵抗威脅、減少脆弱性、限制風險事件影響、檢測風險事件和恢復的安全實踐、策略和機制。有效的安全是在資產的多個層面提供安全防護措施，來預防、阻止、檢測、限制、糾正、恢復、監視安全事件。
在物理環境、技術環境、人員和管理實施安全防護，是保證信息安全的基本要求。
⑦ 殘余風險
風險不可能完全消除，有些風險由于安全成本問題，在滿足組織安全需求的前提下，成為殘余的風險。
⑧ 其它要素
（2）風險要素關系
風險要素之間存在著多種關系，ISO/IEC13335-1，以風險為中心，清晰表示了資產面臨的安全風險與其它風險因素之間的關系，如下圖。
ISO/IEC 13335 風險要素關系
① 支撐組織業務運行的關鍵資產，如果對資產的依賴程度越大，在攻擊者利用脆弱性發動威脅時，面臨著非授權暴露、修改、否認信息、信息服務不可用或損壞的風險也越大，對組織資產和業務造成負面影響，因此引出安全保護需求；
② 威脅利用脆弱性作用于關鍵資產，共同引發風險，威脅越多風險越大，風險的存在導出安全保護需求；
③ 脆弱性可能暴露資產價值，資產具有的弱點越多，風險越大，風險的存在導出未被滿足的安全保護需求；
④ 安全保護需求可通過安全防護措施得以滿足。
⑤ 安全防護措施的實施，可以抵御威脅，減少脆弱性，降低風險。
中企檢測認證網提供iso體系認證機構查詢，檢驗檢測、認證認可、資質資格、計量校準、知識產權貫標一站式行業企業服務平臺。中企檢測認證網為檢測行業相關檢驗、檢測、認證、計量、校準機構，儀器設備、耗材、配件、試劑、標準品供應商，法規咨詢、標準服務、實驗室軟件提供商提供包括品牌宣傳、產品展示、技術交流、新品推薦等全方位推廣服務。這個問題就給大家解答到這里了，如還需要了解更多專業性問題可以撥打中企檢測認證網在線客服13550333441。為您提供全面檢測、認證、商標、專利、知識產權、版權法律法規知識資訊，包括商標注冊、食品檢測、第三方檢測機構、網絡信息技術檢測、環境檢測、管理體系認證、服務體系認證、產品認證、版權登記、專利申請、知識產權、檢測法、認證標準等信息，中企檢測認證網為檢測認證商標專利從業者提供多種檢測、認證、知識產權、版權、商標、專利的轉讓代理查詢法律法規，咨詢輔導等知識。
本文內容整合網站：百度百科、搜狗百科、360百科、知乎、市場監督總局 、國家認證認可監督管理委員會、質量認證中心
免責聲明：本文部分內容根據網絡信息整理，文章版權歸原作者所有。向原作者致敬！發布旨在積善利他，如涉及作品內容、版權和其它問題，請跟我們聯系刪除并致歉！
