ISO27000信息安全风险因素的相互作用机制,ISO27000信息安全管理体系认证类别有哪些

ISO27000信息安全风险因素的相互作用机制

世界事物是转变和发展的，每个事物都有1个发展的过程，风险的形成也是一样。ISO27000信息安全风险的形成，首先要具备风险存在的内在条件；其次要具备风险存在的外在条件；最后还要具备外因与内因转化为风险事件的条件。通过下图，能够清晰反映出ISO27000信息安全风险因素的相互作用的情况。

信息安全风险因素的作用机制

从上图，风险的构成包含5个方面：风险源、风险方式、风险途径、风险受体和风险损失。它们之间相互依赖、相互作用，是一种因果关系，能够表达为：风险的1个或多个起源，采用一种或多种途径，侵害1个或多个风险受体，造成风险损失。

风险源是威胁的发起方，称为威胁源或威胁主体。

风险方式是威胁源实施威胁所采取的手段，称为威胁行为。

风险途径是威胁源实施威胁利用的薄弱环节，称为脆弱性或漏洞。

风险受体是威胁的承受方，即信息系统。

风险损失是威胁源实施威胁所造成的损失，称为影响。

（1）ISO27000信 息安全威胁的存在方式、存在条件、存在概率是形成风险的外在动力。信息安全威胁是以不同方式、不同条件，动态存在于信息系统生命周期的每1个阶段。威胁来 源复杂，有来自内部的恶意和无意的员工、顾问、第三方人员，外部的黑客、情报组织、敌对国家、恐怖组织、间谍等；也有来自非人为的自然灾害、事故或故障 等。这些威胁主体有着不同的动机和攻击能力，或出于报复，或出于经济利益，或出于政治目的，或具有高技能攻击能力、或是使用简单的攻击工具。这些影响因素 交织在一起决定着威胁对信息系统的作用强度和发生概率。

（2）威胁通过脆弱性 作用于信息系统是形成风险的必经途径。假如信息系统安全状况良好，不存在可被利用的弱点，任何威胁都是无能为力的。但绝对安全的系统是不存在的，脆弱性是 信息系统固有的客观现象，既有技术，又有管理和环境方面的脆弱性。在外来威胁的作用下，这些脆弱性的强弱成为诱发、导致、加速和减缓风险发生的内在动力。 风险环境的脆弱性程度决定着其被威胁利用的概率。

（3）信息系统的风险承受力 是威胁通过脆弱性作用于信息系统形成风险的转化条件。信息系统的风险承受力反映的是信息系统受到攻击等情况时，维持业务运行最基本的服务和保护信息资产的 抵抗力、识别力、恢复力和自适应力。抵抗力是1个系统抵抗攻击的能力，识别力是系统识别攻击和损坏程度的能力，恢复力是在受到攻击后恢复系统的能力，自适 应力是根据历史上受到攻击或故障发生情况下防御和抵抗类似情况的能力。不同的组织的业务特点、规模、技术人员水平、安全需求标准、安全培训教育水平能力、 员工安全意识强弱、实施的安全控制状态、安全事件预警水平、应急响应能力都是不同，对风险的抵抗和防御表现也是不同的。当风险事件发生时，风险承受力相对 较强的组织可能会启动应急方案、组织高水平的抢救团队，使风险损失降低到组织可承受的范围内；而风险承受力相对较弱的组织，可能会由于没有方法来控制风险 而放任风险发生，造成巨大损失。

（4）风险的直接和间接损失是信息系统风险形 成的后果。在对威胁强度和威胁发生概率、脆弱性被威胁利用的概率、风险承受力的转化概率进行分析估算的基础上，预估信息系统风险发生时的直接和间接损失， 能够明确系统风险等级，为安全决策提供科学依据，采取相应的安全控制措施，提高信息系统的风险承受能力。

ISO27000信息安全管理体系认证类别有哪些

ISO27001认证简介：

ISO27001是ISO27000系列的主标准，类似于ISO9000系列中的ISO9001，各类组织能够按照ISO27001的要求建立自己的信息安全管理体系(ISMS)，并通过认证。

ISO已为信息安全管理体系标准预留了ISO/IEC 27000系列编号，类似于质量管理体系的ISO9000系列和环境管理体系的ISO14000系列标准。

ISO27001认证特点：

规划的ISO27000系列包含下列标准ISO 27000 原理与术语Principles and vocabulary

ISO 27001 信息安全管理体系—要求 ISMS Requirements (以BS 7799-2为基础)

ISO 27002 信息技术—安全技术—信息安全管理实践规范 (ISO/IEC 17799:2005)

ISO 27003 信息安全管理体系—实施指南ISMS Implementation guidelines

ISO 27004 信息安全管理体系—指标与测量ISMS Metrics and measurement

ISO 27005 信息安全管理体系—风险管理ISMS Risk management

ISO 27006 信息安全管理体系—认证公司的认可要求ISMS Requirements for the accreditation of bodies providing CErtification

ISO 27007 信息技术-安全技术-信息安全管理体系审核员指南

Information technology_Security techniques_ISMS auditor guidelines

其中ISO27001：2005 的最终标准草案(FDIS)已经在2005年7月发布，预计在2005年底或2006年初作为正式国际标准发布。

ISO27000认证流程：

信息安全管理体系建设项目区划成5个大的阶段，并包含25项关键的活动，假如每项前后关联的活动都能很好地完成，最终就能建立起有效的ISMS，实现信息安全建设整体蓝图，接受ISO27001审核并获得认证更是水到渠成的事情。

1现状调研：从日常运维、管理机制、系统配置等方面对组织信息安全管理安全现状进行调研，通过培训使组织相关人员全面了解信息安全管理的基本知识。

2 风险评估：对组织信息资产进行资产价值、威胁因素、脆弱性分析，从而评估组织信息安全风险，选择适当的措施、方法实现管理风险的目的。

3 管理策划：根据组织对信息安全风险的策略，制定相应的信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。

4 体系实施阶段：ISMS建立起来(体系文件正式发布实施)之后，要通过一定时间的试运行来检验其有效性和稳定性。

5 认证审核阶段：经过一定时间运行，ISMS达到1个稳定的状态，各项文档和记录已经建立完备，此时，能够提请进行认证。