ISO 27001 轉版筆記 -9- 風險評鑑

ISO 27001:2013 的風險評鑑,更多地參考了 ISO 31000 有關風險管理的作法。

如果你是要引入跟建立 ISO 27001:2013,則風險評鑑的建立可以參考 ISO 31000 的作法;如果是轉版的話,也要看你的組織內對於風險評鑑方法的態度,是否要大加改革?或是沿用原先2005的風險評鑑方式(以資訊資產的風險為討論基礎)?

大概的步驟是:

1. 依據組織全景檢視的討論,來重新考量風險評鑑方法

你做完組織的全景檢視了吧?(主條文 4 要做的事情) 那些議題、期望必須納入你的風險考量,你必須在風險評鑑的開頭對這部分做討論,根據你的討論結果,決定了你的風險評鑑方法。

例如、可能你討論後認為:要針對內外部議題、利害團體期望以及其餘資訊資產,分別擬定一種風險計算程序。如此你就需要擬訂出三種風險值的計算方式,而且要注意,風險值的計算程序,必須要是可重複,而且相同條件下要可以得到相同結果。換句話說,風險評鑑過程可不能像是申論題隨便你掰,而是要有一個定量化的方式,去評量出你的風險值。

又或者,也許你的組織型態,經過討論後,認為不需要針對內外部議題、利害團體期望另外開立新的風險評量方式,而是可以將之併入資訊資產的風險來討論,那麼就可以完全沿用 2005 版的資訊資產評鑑方式。

2. 檢查你的資產清冊,確認有沒有資產擁有者? 沒有的話記得加上。

3. 針對每一項風險,加入風險擁有者

在 2005 版內,一個資產可能存在很多項風險,而在 2013 版,每一項風險,除了要透過一個程序去評量其風險值外,還需決定該項風險的風險擁有者

在 2005 版內,如果一項風險的風險值經過計算後非常的高(超過臨界值),就需要採取控制的措施(通常稱為風險處理計畫),去降低這項風險。在 2013 版,每一項風險處理計畫都須由該項風險的風險擁有者核可,才可以執行

這些改變都需要設法文件化,並融入風險評鑑報告、風險評鑑計畫之中,當然,相關的風險評鑑程序書也別忘記修改。

風險擁有者的參考資料:

  1.  中央大學的某份簡報
  2.  北藝大的風險程序

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

這個網站採用 Akismet 服務減少垃圾留言。進一步瞭解 Akismet 如何處理網站訪客的留言資料