ISO27001认证顾问 ISO27000认证 * 快捷申请流程

不可接受风险的确定和处理
1) 针对所有的中级以上（包括中级）风险，各责任部门采取有效安全控制措施，确保所采取的控制措施是充分的，直到其风险降至可接受为止。
2) 在实际的控制措施执行后，信息安全管理小组及各部门评估人员根据实际措施的执行效果，重新评估资产的威胁值和脆弱性值，从而计算出关键活动的残余风险。
3) 信息安全管理小组：根据风险评估以及处置的结果编制《信息安全风险评估报告》，陈述本公司信息安全管理现状及残余风险状况。
4) 对于不进行处置的风险及残余风险仍处于中级以上（包括中级）的风险，由信息安全管小组完成《残余风险批示报告》，《残余风险批示报告》需经过公司管理者批准通过，才能接受残余风险。

1. 目的和范围
2. 引用文件
3. 职责和权限
4. 风险管理方法
4.1. 风险识别
4.2. 风险估计与评价
4.3. 选择风险处置方式
4.4. 残余风险接受
5. 风险评估描述
5.1. 风险评估前准备
5.2. 确定重要业务过程和活动
5.3. 信息资产的识别
5.4. 重要信息资产风险等级评估
5.5. 不可接受风险的确定和处理
5.6. 风险定期评估
5.7. 风险评估评审
6. 相关记录

1 管理评审计划
信息安全体系负责人负责在管理评审实施前编制《管理评审计划》，并得到信息安全管理小组的批准。
管理评审计划主要内容包括：
1) 评审范围、内容及时间安排；
2) 参加评审的单位和人员；
3) 评审会议议程。
2评审实施
信息安全管理体系负责人负责主持管理评审活动。
1) 评审：与会人员在“会议签到表”上签字后，由体系负责人主持并介绍体系运行情况和内审情况：
2) 内审的充分性、有效性，内部审核关于信息安全管理体系的符合性、有效性的结论；
a) 信息安全管理体系文件的充分性和适宜性；
b) 事故事件情况；
c) 对重大危害因素和重要环境因素的控制情况；
d) 目标、指标和管理方案的实现情况；
e) 信息安全方针的适宜性；
f) 整个信息安全管理体系的符合性、有效性和适宜性；
g) 持续改进的意见。
信息安全管理小组对所汇报的内容进行评审并做出改进决定，并对评审结果及决策进行记录。
3) 管理评审的输出应包括为实现持续改进的承诺而做出的，与信息安全方针、目标、指标以及其他信息安全管理体系要素的修改有关的决策和行动。如：
h) 信息安全管理体系有效性的改进；
i) 与顾客要求有关的服务的改进；
j) 资源需求等。