莆田申请ISO认证 iso安全体系认证需要什么材料

对风险应进行处理。对可接受风险，可保持已有的安全措施；如果是不可接受风险（高风险），则需要采取安全措施以降低、控制风险。
对不可接受风险，应采取新的风险处理的措施，规定风险处理方式、责任部门和时间进度，高风险应得到**的考虑。
风险处理方式说明
标识 描述
保持 现有控制措施完全可以应付或防止此风险的发生，控制措施保持不变
控制 现有控制措施不足或没有控制措施，必须制作重新相应的对策防止此风险发生
接受 控制现有风险所花费的成本过高、**出公司随范围且风险发生的可能性较小或没有适当的解决方案，公司决定接受此风险
避免 公司放弃可能涉及此风险的行为，以保证风险不会发生
转移 将风险转嫁至其他公司或第三方人员身上，公司内部不再对此风险作任何控制措施

1制定沟通和协商计划
与内部和外部利益相关者进行充分的沟通和协商，帮助识别内外部风险，并确保利益相关者认同和支持风险处理（应对）计划。风险评估小组制定总的风险评估计划，各部门制定与利益相关者的沟通和协商计划，并在此基础上识别出本部门的所有有关风险。
2 适当地帮助明确环境；
1) 确保利益相关者的利益被理解和考虑；
2) 帮助确保风险充分地被识别；
3) 将不同领域的专业知识一并用于分析风险；
4) 确保在界定风险准则和评定风险时，不同的观点被恰当地考虑；
5) 确保认同和支持风险处理（应对）计划；
6) 加强在风险管理过程中的变更管理；
7) 制定一个恰当的内部和外部沟通和协商计划。

1 定期评估
总经办每年应组织对信息安全风险重新评估一次，以适应信息资产的变化，确定是否存在新的威胁或脆弱性及是否需要增加新的控制措施。
2 非定期评估
当发生以下情况时需及时进行风险评估：
a) 当发生重大信息安全事故时；
b) 当信息网络系统发生重大更改时；
c) 总经办确定有必要时。
3 更新资产
各部门对新增加、转移的或授权销毁的资产应及时更新资产清单。
4 调整控制措施
总经办应分析信息资产的风险变化情况，以便根据企业的资金和技术，确定、增加或调整适当的信息安全控制措施。

可用性(A)赋值：
根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
可用性(A)赋值的方法
级别 价值 分级 描述
1 很低 可用性价值可以忽略 合法使用者对信息及信息系统的可用度在正常工作时间低于25%
2 低 可用性价值较低 合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上，或系统允许中断时间小于60min
3 中等 可用性价值中等 合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上，或系统允许中断时间小于30min
4 高 可用性价值较高 合法使用者对信息及信息系统的可用度达到每天90%以上，或系统允许中断时间小于10min
5 很高 可用性价值非常高 合法使用者对信息及信息系统的可用度达到年度99.9%以上，或系统不允许中断
导出《信息资产资产清单》
判定重要资产
按照资产赋值的结果，经过相加法得出重要性值，从而得出重要性等级，资产重要性划分为5级，级别越高表示资产重要性程度越高。
重要性等级说明
重要性等级 重要程度 重要性值
1 不重要 0<=值<=3
2 不太重要 3<值<=6
3 一般重要 6<值<=9
4 重要 9<值<=12
5 很重要 12＜值<=15

http://lsjsqd.b2b168.com