人们早已认识到，信息安全管理不仅仅是安装配置一些如防火墙、防病毒和上网行为管理那些安全控制系统。不过，要实现安全管理的目标，使用基于风险管理的战略方法，是不二的选择。否则，随着大流向前冲，是缺乏“智慧”的盲从行动。对此，昆明亭长朗然科技有限公司信息安全顾问专员董志军表示：信息安全风险评估的结果和输出就是风险应对计划，有了计划，执行起来就有依据、有条理，即使路径不是最优，也不会偏离大道。下面，我们简单聊一聊风险应对计划。

ISO27001及ISO27002条文中要求组织“明确风险处置计划，它为信息安全风险管理指出了适当的管理措施、资源、职责和优先级”。这些条文和详细处理管理责任细节的条文5有交叉引用。风险处置计划一定要得到记录，它应该被设置于组织的信息安全政策方面，应明确识别该组织的风险应对方法，以及接受风险的准则。当有风险应对框架时，这个准则应当和信息安全管理标准的要求相一致。

标准的相关条文都要求风险应对计划需要得到正式的定义和描述，它应该包含高优先级的信息安全行动。角色与职责的描述、操作流程的详情、日后的检视及更新等都应该得到正式的定义和分配。

记录风险处理计划

风险处理计划的核心是一个详细的时间表，它显示出，对于每一项确定的风险，该组织决定如何对待它，哪些控制已经到位，哪些额外的控制被认为是必要的，以及实施它们的时间框架。对每项风险，可接受的风险程度需要得到确定，同样要确定可将风险置于一个可接受水平的风险处理选项。

风险处置计划和风险评估计划相关联，详细的情况在前面风险评估章节中有讲到，目的是为了识别和设计恰当的控制措施，以及如在适用性声明中所描述的那样，部署、测试和改进董事会设定的风险管理方法。这一计划也应确保有足够的经费和实施资源来部署选定的控制措施，并应列清楚它们具体是什么，有哪些。

风险处理计划也应确定执行和持续改进它所必需的个人能力和广泛的培训和宣传。

风险处理计划和PDCA方法

风险处理计划是同ISMS的PDCA循环中所有四个阶段联系起来的关键文件计划。它是一种高层次的，记录在案的关于谁负责交付哪些风险管理目标、如何实现、要用到哪些资源，以及如何评估和改进它们。

总之，如果说风险评估还是“Plan 准备”阶段的话，在制定风险应对计划之后，则会进入到“Do 实施”阶段。对此，昆明亭长朗然科技有限公司董志军强调：风险应对计划是承上启下的多项选择题，要做什么，不做什么，要消除哪些风险，要降低哪些风险，要忽略哪些风险，要接受哪些风险，是艰难的选择。不可否认的是，在实施阶段需要一些专业的人员，比如懂得网络安全技术、管理的专业人员，以让其实施各类技术平台以及管理系统。与此同时，更需要全面的风险应对计划的记录，是否依据应对计划实施了？做了什么？没做什么？要有案可查，否则就是执行不力，一团糟。当然啦，做好记录，并不仅仅是为了信息安全风险管理方法的下一步“Check 检查”之输入，也是考虑到控制措施的实施会有一个“适用性”问题，需要一项适用性声明。

如果制定风险应对计划时，专业人力不足，可以咨询专业团队和人员。当然，专业人员的养成，也需要学习和实践。我们一套免费的信息安全管理体系实施教程，是一名CISO的工作和成长系列故事，欢迎有兴趣学习的人员联系我们，获取免费的观看。

昆明亭长朗然科技有限公司

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com