信息安全认证：《信息安全风险管理程序》
添加时间：2021-2-4
1.目的
描述本程序对组织的信息安全风险管理的作用。
2.适用范围
描述本程序所涉及的部分与人员。
3.职责
描述本程序作涉及的部分与人员在程序执行过程中的具体职责，注意一定要落实具体任务到角色。
如∶
管理者代表按照本文件的要求确定每次信息安全风险评估的范围，组织开展每年的风险资产调查、风险评估并监督落实风险处理计划。
所有员工配合进行资产调查、风险处理。
4.风险评估方法、实施和评审
描述风险评估的具体方法（需要满足GB/T 22080—2008/ISO/IEC/27001：2005的要求，即可比较、可再现），明确风险评估实施过程和评审组织。
5.信息安全风险评估实施
描述风险评估的具体实施过程（特别要从组织到落实及最终结果全面描述）。
6.信息安全风险处置实施
描述风险处置的具体实施过程（特别要明确风险接受准则，并明确依此准则如何落实从标准要求的方法使风险控制在可接受范围内）。
7.相关文件与记录
描述风险管理相关的文件和主要记录。
如：
组织自身的风险评估的方法标准，风险评估报告。
关于“ISO27000认证咨询”的相关资讯
