信息安全管理体系实施的第三步是进行风险评估。风险评估在ISO 27001的条文中，在ISO 27002的章节中都有相关的支持性指导。这是这两个标准直接互补的第二个领域。只是ISO 27001指定的风险评估步骤是必需遵守的，而ISO 27002则在其章节中提供了更多的风险评估流程指南，但是它特意不提供如何进行单独评估的详细指导。这是因为每个组织都被鼓励自行选择最适合自己行业、复杂性和风险环境的风险评估方法。对此，昆明亭长朗然科技有限公司信息安全管理咨询专员董志军表示：没做过信息资产风险评估的安全专员不是真正的安全管理人员。风险评估仅限于漏洞扫描和渗透测试等技术领域的，不够全面，也只能算是信息安全技术专员。

风险处理计划的目标

ISO 27002声明风险处置计划有四个相互关联的目标。它们是：
1.消除风险（中/终止它们）；
2.降低不可消除的风险至“可接受的”水平；
3.容忍风险，亦即接受那些“可接受”的风险；
4.转移风险，通过合约或保险，将风险转嫁给其它组织。

关于什么是“可接受的”的定义对于风险应对计划来说至关重要，并且标准要求管理层“制定接受风险和可接受风险的准则”。它们应该成为管理层来做决定的程序的证据，并且一定要符合“在组织整体业务活动和他们面对的风险的背景下”。

风险处理计划只能在风险得到识别、分析和评估之后才能制定。风险评估过程的设计应该在组织内部的风险处置框架之下运作，并应遵照标准的具体要求。

风险评估流程

目前，定性风险评估是风险分析最常用的方法，也是标准条文中特别指定的风险识别方法。精确的数字概率数据并不是必要，要用到的是估计潜在损失的可能性。大多数定性风险分析方法使用一系列相关的元素，这些元素也是标准要求需要识别出来的，它们包括：每项资产，它的所有者，对保密性，完整性和可用性的威胁，它的脆弱性（即弱点）及影响。

标准设定了进行风险评估必需遵守的六个步骤：
1.在ISMS范围内识别出相应的资产
2.识别出这些资产的保密性，完整性和可用性所面临的威胁
3.识别出可能利用这些威胁的漏洞
4.评估这些威胁可能造成的影响
5.评估这些事件发生的可能性
6.综合评估风险

识别出范围内的资产

第一步是找出ISMS范围内的所有信息资产，同时记录下“拥有”这些资产的个人和部门。这项工作基于、并且也可以成为范围划定工作的一部分。这项工作中的主要组成部分包括：

1.从物理和逻辑的层面确定受保护的边界
2.找出边界内所有需要接收、存储、处理和发送信息或数据的系统，以及这些系统内的信息资产。
3.确定这些系统、信息资产和组织的目标及任务之间的关系
4.识别出对组织达成目标和任务至关重要的系统和信息资产，可能的话，将它们按优先顺序排列。附件A1有关于资产清单的控管措施，在这一点，可采纳ISO 27002的章节中的指南。它明确提出，要将信息资产的属性和级别纳入考量，并且建议此时对资产进行信息安全的等级划分，这和附件A中关于信息应该得到适当划分是一致的。

资产所有者

在确认信息资产的同时需要识别出这些资产的“所有人”。ISO 27001定义“所有人”为“负有被认可管理责任的个人或个体，其控制资产的生成、开发、维护、使用及安全。”这里的定义并非法律认知或一般认知的财产拥有者。每项资产必需拥有一个所有人，这是附录A中关于
资产所有权中的要求。资产的所有者是个人，或者组织的一部分，它应该对资产的分级和保护负责。

威胁

它们是那些可以让识别出来的资产出现故障或“攻击”资产的事情。它们可能来自外部，也可能来自内部。标准强制要求下一步对每项资产进行潜在威胁的识别。当然，像单个威胁可以影响多个资产一样，标准要求ISMS可以拥有相当的灵活性，对于落在同一级别同一类型的资产，当它们面临的威胁也一样时，可将这些资产当做一类，在后续的工作中进行相同的对待。

漏洞（弱点）

它们让系统容易受到某种攻击，是可以被威胁利用的系统缺陷，能够增加系统被攻击的可能性。举例讲，“火灾”是来自外部的威胁，而服务器机房堆有可燃物即是漏洞。在标准的术语中，漏洞可以被威胁来利用。下一步是评估过程，就是为每项资产和每项资产的威胁找出相关可能利用的漏洞。一项资产可能面对多种威胁，每种威胁又可能被多个漏洞利用。您需要把它们全都识别出来，有一种方法可以参考，特别是对于计算机硬件和软件，可以参考标准的业界来源如bugtraq和CVE。原厂商关于漏洞的更新也可以纳入考量，另外，所有的漏洞并不能被一下子全部发现出来，组织需要不断的跟踪和识别新的漏洞。

影响

威胁对漏洞的成功利用可以造成资产可用性、机密性和完整性的影响。这些影响应该被尽可能的识别出来，并且赋于相应的货币价值。标准明确规定影响应该在这三方面得到评估；一种威胁可以利用多个漏洞，而成功的利用可能造成多种影响。
标准的要求是对每项潜在的影响测评出对业务可能带来的损失。这项工作的目的是排序应对措施，以便同组织可接受的风险起点相对关联。划分出可能的损失，而不是尝试着计算出准确的数值也是可以接受的。可以在管理团队的指导下，依照组织的大小及目前风险应对架构，设定一些财务级别。在评估潜在风险代价时，所有的代价包括直接的、间接的和由它们派生来的，都应该记入其中。

风险评估

简单讲，在这一流程之前都是关于数据收集和事实评估的。此前的各个阶段都有些事实上的关联。漏洞的识别方式可以分为技术的、逻辑的和物理的。组织针对这些所做的决策将和他们统计这些威胁的动作有关。这意味着现在实际分析出来的风险同组织整体的“风险追求”有关，“风险追求”即组织对风险所采取的愿望。风险评估包含识别潜在的业务伤害，它们来自每项识别出的风险。

可能性

在此前，评估是在各种识别出的威胁拥有相同的发生的可能性下进行的。真实情况并不会如此，所以有必要评估相关影响发生的可能性或者概率。概率可以分级为“非常不可能”到“时常会发生”。

计算风险级别

最后一步的工作是对每项影响计算出风险级别，并且将详细情况转交组织资产和风险日志。风险级别是影响和可能性综合作用的结果。经常将风险划为三个级别：低、中和高。当可能的影响较低，而可能性也低时，风险级别可认定为低；当可能的影响和可能性都是高时，风险级别可认定为高；其它界于两者之间的可认定为中级。然而，每个组织都可以根据自身实际情况分类和设定每项影响的风险级别。

快速小结

风险评估是比较繁琐的工作，很多人不知道怎么做，却总是“自以为是”，它并不应该是高大上的来表明自己“懂行”的行业术语。尽管它属于西方管理理念和方法论，它的科学性和适用性值得某些机构探讨，但是毕竟也是广受检验的一种成功方法。因此，值得我们谦恭地对待，认真学习之，消化之并利用之。只有风险评估工作进行的足够，后期的风险应对，也就各类控管措施的选择和实施，才能有正确的输入和指导。

后记补充

说到一些网络安全行业从业人员“不学无术”，让人为之惋惜，也为雇佣其提供服务的机构所痛心。职业人员尚且如此，那些拍板的高阶及部门领导们，则更是门外汉了。没有管理层对信息安全管理关键工作步骤的理解和支持，这让信息安全管理工作的推动变得艰难，成功遥遥无期。如何破解这种困局呢？昆明亭长朗然推出了针对管理层的快速信息安全管理在线课程，欢迎各老板们、总监经理们联系我们，也欢迎忠于职业、有志于在信息安全管理领域深耕细作的信息安全专员们联系我们，获得我们的在线课程，获得信息安全管理体系的标准化指导，为组织内部信息安全管理的成功打下坚实的理论和知识根基。

欢迎您通过如下方式快速联系到我们。

昆明亭长朗然科技有限公司

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com
• QQ：1767022898