风险评估和管理任务

详细风险评估活动

资产识别和估价

识别和列出信息安全管理范围内被评估的业务环境、运作和信息相关的所有资产，定义一个价值尺度并为每一项资产分配价值（保密性、完整性和可用性的价值）。

威胁评估

识别与资产相关的所有威胁，并根据它们发生的可能性和严重性为它们赋值。

薄弱点评估

识别与资产相关的所有薄弱点，并根据它们被威胁利用的难易程度来为它们赋值。

现有的和计划了的安全控制的识别

根据前期评审，将所有现有的/计划了的与资产相关的安全控制进行识别和文件化。

风险评估

利用上述对资产、威胁、薄弱点的评价结果，进行风险计算，风险为资产的相对价值、威胁发生的可能性与薄弱点被利用的可能性的函数，采用适当的风险测量工具进行风险计算。

安全控制和降低风险的识别和选择

根据从上述评估中识别的风险，识别适当的安全控制需要，以阻止这些风险。识别与每一项被评估的风险相关的控制目标。根据与这些资产的每一项相关的威胁和薄弱点识别安全控制，以完成这些目标。最后，评估被选择的安全控制多大程度上降低了被识别的风险。

风险接受

对残余的风险加以分类，或是‘可接受的’或是‘不可接受的’。对那些被确认是‘不可接受的’，决定选择更进一步的控制还是改变可接受风险的程度。