ISO20000-信息安全评估作业模版---破子
学习资料：IT运维管理社区专家讲堂直播300期视频回放
ISO20000-信息安全评估作业模版
信息安全评估作业，我们做了两次了，一直未成型，今年我们做了一个调整，希望可能建立一个可持续作业的框架，作业信息就不做过多文字描述了，有兴趣的同行直接看附件吧。这其中还有一些逻辑问题。
我们尝试建立一个公司自已的信息安全风险库，与一个公司自已的信息安全措施库，然后基于项目这个管理单元，展开信息安全评估作业，也类似一个体检表，这样的一个新项目我们也可以利用这种体检表进行评估，然后每一个服务项目建立自已信息安全档案，而且是量化的模式。
作业目标：
可以基于项目计算风险值（IDC服务项目的信息安全风险值是多少）
可以基于对象分类计算风险值（PC服务器类的信息安全风险值是多少）
可以基于风险类计算风险值（弱口令这种风险的信息安全风值是多少）
可以基于任何CI计算风险值（一台服务器的信息安全风险值是多少）
可以建立信息安全历史档案
步骤：
1、确定风险评估模型
2、明确评估对象种类
3、明确风险种类
4、明确风险控制措施
5、明确评估项目范围
6、明确评估项目重要度
7、展开风险评估作业
8、分析风险现状及问题
9、明确需采取的风险控制措施
10、
服务改进跟踪
逻辑问题：
风险与对象的关系，风险是独立的，还是基于对象的？
风险与控制措施的关系，控制措施是独立的，还是基于风险的？
风险值=重要度*可能性*严重性：
当一个对象中有多个风险时，其风险值如何计算？
当一个风险有多个控制措施时，其风险值如何计算？
比如下面的例子
项目
重要度
对象
风险
列表
严重性
可能性
风险值
控制
措施
严重性
可能性
风险值
4
CI001
R001
4
2
M001
3
3
4
CI001
R001
4
2
M002
4
2
4
CI001
R001
4
2
M003
2
3
4
CI001
R002
3
3
M004
3
1
4
CI001
R002
3
3
M005
2
2
4
CI001
R002
3
3
M006
1
3
CI001的风险值是多少，CI001的风险值是多少？
上面说的是计算一个CI的风险值，更复杂的是，当一个项目有多个对象时，如何计算一个项目的风险值，或计算一种分类的风险值。
谢谢分享 谢谢分享，学习了
页:
[1]