ISMS 风险评估与处置是什么
ISO/IEC 27001 的 6.1 条款要求组织建立风险准则，识别、分析与评价信息安全风险，并形成处置计划。处置方式分为规避、降低、转移与接受四类，接受残余风险需经授权。风险评估的产出要能落到具体控制措施、责任人与完成期限，否则体系就只剩一堆文件。
基本信息
| 依据 | ISO/IEC 27001 第 6.1 条（策划）与第 8 章（运行） |
|---|---|
| 前提 | 建立风险准则，明确接受门槛与评价方法 |
| 过程 | 识别 → 分析 → 评价 → 处置 → 接受残余风险 |
| 处置方式 | 规避、降低、转移、接受 |
| 记录要求 | 风险登记表、处置计划与授权记录 |
| 更新时机 | 年度评审、重大变更或安全事件后更新 |
典型使用场景
- 体系建立初期识别资产、威胁与脆弱性并形成风险清单
- 年度管理评审时复核风险变化并调整处置计划
- 上云或业务变更前开展专项风险评估
- 内审抽样核对处置措施是否按计划落实
- 向管理层汇报时用风险值与残余风险说明投入依据
风险登记表字段示例
风险登记表字段示例
风险编号 | 资产/过程 | 威胁 | 脆弱性 | 现有控制
可能性 | 影响 | 风险值 | 处置方式 | 措施与责任人 | 期限 | 残余风险 | 批准人处置四选项
处置四选项
规避：停止相关活动或改变方式
降低：增加控制措施降低可能性或影响
转移：保险、外包或合同分担
接受：在准则范围内经授权接受并持续监视风险评价与判定
| 要素 | 说明 | 落地要求 |
|---|---|---|
| 可能性 | 威胁利用脆弱性的难易程度 | 准则中给出分档定义，避免主观打分 |
| 影响 | 对业务、合规与声誉的后果 | 与业务影响分析口径一致 |
| 风险值 | 可能性与影响的组合结果 | 明确高、中、低档对应处理要求 |
| 残余风险 | 处置后仍存在的风险 | 超出接受门槛须升级审批 |
风险准则要写清「什么算高」：没有分档定义的风险表，评审时很难解释为什么某个风险被接受。
与等保的衔接：把风险登记表作为两套体系的共用底稿，整改台账标注来源（等保条款、ISO 控制、行业要求），一次维护多处引用。