扫码微信咨询
-
体系认证
- ISO21434 道路车辆-信息安全工程体系
- ITSS运行维护标准
- ITSS咨询设计标准
- ITSS数据中心标准
- ITSS云计算服务能力标准
- CMMI软件能力成熟度评估
- ISO27701隐私信息管理
- ISO27001信息安全管理
- ISO22301业务连续性管理
- ISO20000信息技术服务管理
- ISO27017云服务信息安全
- ISO27018公有云隐私安全
- ISO27040存储安全管理体系
- ISO9001质量管理
- ISO14001环境管理
- ISO45001职业健康安全管理
- ISO29151个人身份信息保护指南
- ISO38505数据治理安全管理
- 商品售后服务评价体系
- 知识产权管理体系
- ISO27799健康信息安全管理体系
- GB/T35273 个人信息安全规范认证
- 资质认定
- 管理培训
- 解决方案
ISO27001标准安全风险评估分为哪两部分内容
2021-03-07
1224
ISO27001标准的安全风险评估主要是保障企业业务系统不被非法访问、利用和篡改，为企业员工提供安全、可信的服务，保证信息系统的可用性、完整性和保密性。主要包括两方面的内容：
1、企业安全管理类的评估
评估内容包括ISO27001所涵盖的与信息安全管理体系相关的11个方面，包括信息安全策略、安全组织、资产分类与控制、人员安全、物理和环境安全、通信和操作管理、访问控制、系统开发与维护、安全事件管理、业务连续性管理。通过对企业的安全控制现状与ISO27001的最佳实践进行对比，检查企业在安全控制层面上存在的弱点，从而为改进安全措施提供依据。
2、企业安全技术类评估
针对企业具有代表性的关键应用进行安全评估。关键应用的评估方式采用渗透测试的方法，在应用评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的安全目标之间的差距，为后期改造提供依据。以ISO27001为核心，并借鉴国际常用的几种评估模型的优点，同时结合企业自身的特点，建立风险评估模型：在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。
根据业务需求建立业务模块化：整体网络建立模块化的网络结构，各业务使用独立的核心交换骨干网络，将非关键业务区域与关键交易业务区域的交换网络分离，避免关联风险的影响，便于实施分级保护。同时建立层次化的网络结构，根据风险级别区分不同的网络层次，便于实施重点防护。
针对不同级别的WEB、APP、数据库、存储等逻辑区域，设计不同的安全防护级别，同时采用不同的安全设备进行安全防护。
以上就是关于ISO27001标准安全风险评估的两部分内容的介绍。
1、企业安全管理类的评估
评估内容包括ISO27001所涵盖的与信息安全管理体系相关的11个方面，包括信息安全策略、安全组织、资产分类与控制、人员安全、物理和环境安全、通信和操作管理、访问控制、系统开发与维护、安全事件管理、业务连续性管理。通过对企业的安全控制现状与ISO27001的最佳实践进行对比，检查企业在安全控制层面上存在的弱点，从而为改进安全措施提供依据。
2、企业安全技术类评估
针对企业具有代表性的关键应用进行安全评估。关键应用的评估方式采用渗透测试的方法，在应用评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的安全目标之间的差距，为后期改造提供依据。以ISO27001为核心，并借鉴国际常用的几种评估模型的优点，同时结合企业自身的特点，建立风险评估模型：在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。
根据业务需求建立业务模块化：整体网络建立模块化的网络结构，各业务使用独立的核心交换骨干网络，将非关键业务区域与关键交易业务区域的交换网络分离，避免关联风险的影响，便于实施分级保护。同时建立层次化的网络结构，根据风险级别区分不同的网络层次，便于实施重点防护。
针对不同级别的WEB、APP、数据库、存储等逻辑区域，设计不同的安全防护级别，同时采用不同的安全设备进行安全防护。
以上就是关于ISO27001标准安全风险评估的两部分内容的介绍。