企業(yè)在建立ISO27001信息安全管理體系時(shí)，完成風(fēng)險(xiǎn)評估后，要對識別出的風(fēng)險(xiǎn)進(jìn)行處置，很多企業(yè)不清楚風(fēng)險(xiǎn)處置有哪些方式，應(yīng)該怎么選擇，也有的企業(yè)風(fēng)險(xiǎn)評估做完了，但處置措施沒有落實(shí)，今天就把ISO27001風(fēng)險(xiǎn)處置的相關(guān)內(nèi)容，給大家講清楚。

　　首先，企業(yè)要了解風(fēng)險(xiǎn)處置的位置。ISO27001的風(fēng)險(xiǎn)管理過程，包括風(fēng)險(xiǎn)識別、風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)評價(jià)，以及風(fēng)險(xiǎn)處置，企業(yè)通過風(fēng)險(xiǎn)評估，了解風(fēng)險(xiǎn)的大小和等級，對于需要處理的風(fēng)險(xiǎn)，要選擇合適的處置方式，并且制定風(fēng)險(xiǎn)處置計(jì)劃，把風(fēng)險(xiǎn)降低到可接受的水平，這是信息安全管理的核心環(huán)節(jié)。

　　風(fēng)險(xiǎn)處置常見的方式，有四種，第一種是風(fēng)險(xiǎn)降低，通過采取控制措施，降低風(fēng)險(xiǎn)發(fā)生的可能性，或者減少風(fēng)險(xiǎn)造成的影響，這是企業(yè)比較常用的方式，比如通過訪問控制、數(shù)據(jù)備份、加密、權(quán)限管理、安全培訓(xùn)、終端防護(hù)、日志監(jiān)測等措施，降低信息安全風(fēng)險(xiǎn)。

　　第二種是風(fēng)險(xiǎn)轉(zhuǎn)移，企業(yè)通過一定的方式，把風(fēng)險(xiǎn)的影響，轉(zhuǎn)移給其他方，比如購買網(wǎng)絡(luò)安全保險(xiǎn)、通過合同約定，將部分業(yè)務(wù)外包，明確安全責(zé)任，需要注意的是，風(fēng)險(xiǎn)轉(zhuǎn)移并不意味著企業(yè)完全不用管理，企業(yè)仍要承擔(dān)相應(yīng)的管理責(zé)任，對供應(yīng)商進(jìn)行管理。

　　第三種是風(fēng)險(xiǎn)規(guī)避，企業(yè)通過不開展可能帶來風(fēng)險(xiǎn)的活動(dòng)，或者停止相關(guān)業(yè)務(wù)，來規(guī)避風(fēng)險(xiǎn)，比如停用不安全的系統(tǒng)，不使用不符合要求的服務(wù)，第四種是風(fēng)險(xiǎn)接受，特別是對于低風(fēng)險(xiǎn)，處置成本高于風(fēng)險(xiǎn)影響的，企業(yè)在經(jīng)過評估和批準(zhǔn)后，可以接受風(fēng)險(xiǎn)，并且保留記錄。

　　企業(yè)要根據(jù)風(fēng)險(xiǎn)評價(jià)結(jié)果，結(jié)合組織的要求，選擇合適的處置方式，并且對照適用性聲明，落實(shí)控制措施，保存風(fēng)險(xiǎn)處置計(jì)劃和相關(guān)記錄。山西君耀企業(yè)管理咨詢有限公司可以幫助企業(yè)，了解ISO27001風(fēng)險(xiǎn)處置方法，指導(dǎo)企業(yè)建立信息安全管理體系，協(xié)助辦理認(rèn)證。