¿Qué se debe incluir en un informe de evaluación de riesgos de seguridad de la información?
El informe de evaluación de riesgos de seguridad de la información debe incluir: identificación de varios riesgos que enfrenta el objeto de evaluación, evaluación de la probabilidad de riesgo y posibles impactos negativos, determinación de la capacidad de la organización para resistir riesgos y determinación de prioridades de riesgo. reducción y control, recomendar contramedidas de reducción de riesgos.
La evaluación de riesgos de seguridad de la información se refiere a estándares de evaluación de riesgos y especificaciones de gestión para analizar el valor de los activos, las amenazas potenciales, los enlaces débiles y las medidas de protección tomadas del sistema de información para determinar la probabilidad y posibilidad de pérdidas de seguridad. causados y el proceso de propuesta de medidas de gestión de riesgos. Cuando la evaluación de riesgos se aplica al campo de TI, es una evaluación de riesgos de la seguridad de la información.
La evaluación de riesgos ha pasado gradualmente de operaciones puramente técnicas, como el simple escaneo de vulnerabilidades, la auditoría manual y las pruebas de penetración en los primeros días, al uso generalizado actual de los estándares internacionales BS7799, ISO17799 y el estándar nacional "Información". Nivel de seguridad del sistema", "Criterios de evaluación" y otros métodos incorporan plenamente el método integral de evaluación de riesgos de seguridad de la información y el modelo operativo que toma los activos como punto de partida, las amenazas como desencadenantes y las vulnerabilidades en la tecnología/administración/operaciones como incentivos.
La evaluación de riesgos es la base de la gestión de riesgos. La gestión de riesgos se basa en los resultados de la evaluación de riesgos para determinar las actividades posteriores de control de riesgos y de revisión y aprobación, lo que permite a la organización "posicionar" con precisión las estrategias, prácticas y estrategias de gestión de riesgos. herramientas. Centrando así las actividades de seguridad en cuestiones importantes y seleccionando contramedidas de seguridad rentables, razonables y aplicables.