ISO/IEC 27005:2008 信息技术 – 安全技术 – 信息安全技术风险管理 翻译：1DING (1ding@1ding.cn) ISO/IEC 27005:2008 第一版 2008-6-15 m o c . 5 b u h t i g Information Technology – Security techniques Information security risk management 信息技术–安全技术–信息安全风险管理 本标准由 1DING 翻译，原标准版权属 ISO 组织所有，中译文仅供学习参考 最后更新日期 2008 年 10 月 7 日 http://1ding.org 第 1 页 共 77 页 ISO/IEC 27005:2008 信息技术 – 安全技术 – 信息安全技术风险管理 目 翻译：1DING (1ding@1ding.cn) 录 前言 .................................................................................................................................................. 4 介绍 .................................................................................................................................................. 5 1. 范围 ............................................................................................................................................. 6 2. 规范性引用文件 ........................................................................................................................... 6 3. 术语和定义 .................................................................................................................................. 6 4. 本国际标准的结构 ....................................................................................................................... 8 5. 背景 ............................................................................................................................................. 9 6. 信息安全风险管理过程概述 ....................................................................................................... 10 m o c . 5 7. 确定范畴 .................................................................................................................................... 13 7.1. 总则 .................................................................................................................................. 13 7.2. 基本准则 ........................................................................................................................... 13 7.3. 范围和边界 ....................................................................................................................... 16 b u 7.4. 信息安全的组织架构......................................................................................................... 17 h t i g 8. 信息安全风险评估 ..................................................................................................................... 17 8.1. 信息安全风险评估综述 ..................................................................................................... 17 8.2. 风险分析 ........................................................................................................................... 18 8.2.1. 风险识别 ............................................................................................................... 18 8.2.2. 风险估算 ............................................................................................................... 23 8.3. 风险评价 ........................................................................................................................... 27 9. 信息安全风险处置 ..................................................................................................................... 28 9.1. 风险处置综述 ................................................................................................................... 28 9.2. 风险降低 ........................................................................................................................... 31 9.3. 风险保持 ........................................................................................................................... 32 9.4. 风险回避 ........................................................................................................................... 32 9.5. 风险转移 ........................................................................................................................... 33 10. 信息安全风险的接受 ................................................................................................................ 33 本标准由 1DING 翻译，原标准版权属 ISO 组织所有，中译文仅供学习参考 最后更新日期 2008 年 10 月 7 日 http://1ding.org 第 2 页 共 77 页 ISO/IEC 27005:2008 信息技术 – 安全技术 – 信息安全技术风险管理 翻译：1DING (1ding@1ding.cn) 11. 信息安全风险的沟通 ................................................................................................................ 34 12. 信息安全监视和评审 ................................................................................................................ 35 12.1. 监视和评审风险因子 ........................................................................