下载掌阅APP，畅读海量书库
立即打开
在信息安全产业界，风险评估早已不是陌生话题。近几年来，众多信息安全公司完成的风险评估项目已不在少数，甚至在大部分的信息安全服务厂商中，风险评估都是其核心业务。
风险评估的核心不仅仅是理论，更是实践。风险评估的实践工作非常困难，据国外的统计数字显示，只有60%的风险评估是成功的。国内的风险评估工作面临的挑战更多，需要一定时间的积累和沉淀，要有一个学和练的过程。需要大家先掌握理论基础，了解风险评估的相关标准。下面就来认识这些国际标准。
随着信息化水平的不断发展，信息安全逐渐成为人们关注的焦点，世界范围内的各个机构、组织和个人都在探寻如何保障信息安全的问题。英国、美国、挪威、瑞典、芬兰和澳大利亚等国均制定了有关信息安全的本国标准，国际标准化组织（ISO）也发布了ISO/IEC17799、ISO 13335和ISO 15408等与信息安全相关的国际标准及技术报告。目前，在信息安全管理方面，ISO 27001：2005已经成为世界上应用最广泛与典型的信息安全管理标准之一，它是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成的。
ISO 27001标准于1993年由英国贸易工业部立项，于1995年在英国首次出版BS 7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况下所需控制范围的唯一参考基准，并且适用于大、中、小组织。
1998年，英国公布了标准的第二部分《信息安全管理体系规范》，它规定了信息安全管理体系要求与信息安全控制要求，是一个组织全面或部分信息安全管理体系评估的基础，可以作为一个正式认证方案的根据。BS 7799-1与BS 7799-2经过修订于1999年重新予以发布，1999年版考虑了信息处理技术，尤其是在网络和通信领域应用的近期发展，同时还特别强调了商务涉及的信息安全及信息安全的责任。
2000年12月，BS 7799-1：1999《信息安全管理实施细则》通过了国际标准化组织（ISO）的认可，正式成为国际标准——ISO/IEC 17799：2000《信息技术——信息安全管理实施细则》。2002年9月5日，BS 7799-2：2002草案经过广泛的讨论之后，终于发布成为正式标准，同时BS 7799-2：1999被废止。2004年9月5日，BS 7799-2：2002正式发布。
2005年，BS 7799-2：2002终于被ISO组织所采纳，于同年10月推出ISO/IEC 27001：2005。
2005年6月，ISO/IEC 17799：2000经过改版，形成了新的ISO/IEC 17799：2005，新版本较老版本，无论是组织编排还是内容完整性上都有了很大的增强和提升。ISO/IEC 17799：2005已更新，并在2007年7月1日正式发布为ISO/IEC 27002：2005，这次更新的只是在标准上的号码，内容并没有改变。
2000年，国际标准化组织（ISO）在BS 7799-1的基础上制定并通过了ISO 17799标准。BS 7799-2在2002年也由BSI进行了重新修订。ISO组织在2005年对ISO 17799再次进行修订，BS 7799-2也于2005年被采用为ISO27001：2005。
信息安全管理体系标准（ISO 27001）可有效保护信息资源，保护信息化进程健康、有序、可持续发展。ISO 27001是信息安全领域的管理体系标准，类似于质量管理体系认证的ISO 9000标准。一旦某组织通过了ISO 27001的认证，就相当于通过了ISO 9000的质量认证，表示该组织信息安全管理已建立了一套科学有效的管理体系作为保障。根据ISO 27001对信息安全管理体系进行认证，可以带来以下几点好处。
1）引入信息安全管理体系，就可以协调各个方面的信息管理，从而使管理更为有效。保证信息安全不是仅有一个防火墙，或找一个24h提供信息安全服务的公司就可以达到的。它需要全面的综合管理。
2）通过进行ISO 27001信息安全管理体系认证，可以增进组织间电子商务往来的信用度，能够使网站和贸易伙伴之间互相信任，随着组织间电子交流的增加，通过信息安全管理的记录可以明显看到信息安全管理的利益，并为广大用户和服务提供商提供一个基础的设备管理。同时，把组织的干扰因素降到最小，创造出更大的收益。
3）通过认证能保证和证明组织所有的部门对信息安全的承诺。
4）通过认证可改善全体的业绩，消除不信任感。
5）获得国际认可的机构的认证证书，可得到国际上的承认，从而拓展业务。
6）建立信息安全管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。
7）组织按照ISO 27001标准建立信息安全管理体系，会有一定的投入，但是若能通过认证机关的审核，获得认证，将会获得有价值的回报。企业通过认证将可以向客户、竞争对手、供应商、员工和投资方展示其在同行内的领导地位；定期的监督审核将确保组织的信息系统不断地被监督和改善，并以此作为增强信息安全性的依据，增强信任、信用及信心，使客户及利益相关方感受组织对信息安全的承诺。
8）通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。
自2005年国际标准化组织（简称ISO）将BS7799转化为ISO 27001：2005发布以来，此标准在国际上获得了空前的认可，相当数量的组织采纳并进行了信息安全管理体系的认证。
ISO对标准的更新一般是以3年为一个周期，但因为ISO 27001：2005标准发布后取得的巨大成功，以及ICT行业的飞速发展，使得这个标准的更新变得非常谨慎。从ISO发布的最新信息可以看到，ISO 27001标准的更新筹备实际上已经在2008年就开始了，任命了工作组（JTC 1/SC 27 WG 1）；2009年正式启动更新。
从ISO 27001标准新版更新的一些说明材料中，可以看出这次ISO 27001标准改版将会具有以下几个特征：采用ISO导则83，规范了今后ISO管理体系认证标准的基本框架；采用导则83颁布的第一个标准是2012年5月发布的业务连续管理体系标准——ISO 22301：2012。
在新版标准中明确了以下要求：①信息安全风险评估。组织应确定如何确定其信息安全风险评估和处置过程的可靠性。②信息安全风险处理。适用时，组织应调整信息安全风险评估和处置过程，以及采用的方法，以改善过程的可靠性。保留附录A控制措施与控制目标。新版ISO 27001依然会保留SOA和附录A控制目标、控制措施的架构，因此，毫无疑问，ISO 27001的新版修订一定会与ISO 27002的修订同步进行。
事实上，关于控制措施和控制目标的修订，也是应对新的变化的信息安全威胁和风险的必要选择。这部分的更新，在修订项目中接受了大量的修改建议，争论也相当大，目前还没有最终结论。
古希腊哲学家赫拉克利特因其作为辩证法的奠基人之一而闻名于世，他曾经写道“一切皆流，无物常驻”。过去几年中，国际上几乎所有行业和组织面临的信息安全风险的局势无不体现了赫氏的这一学说。变化和发展是永恒的，信息安全风险总是处在持续演进中，攻击者的手段依然会层出不穷。因此，信息安全管理的实践和标准都在不断发展，唯一要做的就是保持警惕，随时准备抵御风险。
在国内颁发ISO 27001信息安全管理体系证书的认证机构必须是经过CNCA（中国国家认证认可监督管理委员会，简称国家认监委）授权的，所有通过认证且合法的证书均可在CNCA的网站上进行查询。国外的认证机构如果没有在国内CNCA备案，即使认证机构得到了UKAS或者ANAB等的认可，也不符合中国的法律法规，将被视为违规操作，一旦被发现将会被CNCA处罚并公示证书在国内无效。经CNCA授权的认证机构可以在CNCA网站上查询。
认证是指由认证机构证明产品、服务和管理体系符合相关技术规范、相关技术规范的强制性要求或者标准的合格评定活动。所谓认证机构，是指经中国国家认证认可监督管理委员会（CNCA）批准，可以在中国合法开展管理体系认证和产品认证的专业机构。也就是说，取得此项认证资质的企业或单位才可以进行审核活动。比如BSI、DNV、北京新世纪认证有限公司和华夏认证中心有限公司等，它们都属于认证机构。认证机构是经CNCA授权，由认可机构进行管理的。
认可是正式表明合格评定机构，具备实施特定合格评定工作能力的第三方证明。通俗地讲，认可是指认可机构按照相关国际标准或国家标准，对从事认证、检测和检查等活动的合格评定机构实施评审，证实其满足相关标准要求，进一步证明其具有从事认证、检测和检查等活动的技术能力和管理能力，并颁发认可证书。中国的认可机构是CNAS（中国合格评定国家认可委员会），英国的认可机构是UKAS，美国的认可机构是ANAB。
一般来说，证书是由认证机构颁发的，认证机构要得到认可机构的授权，认可机构要得到国家认监委（CNCA）的授权，因此在中国，认证的最高管理单位是CNCA。但是有些认证机构经CNCA备案授权，并没有获得CNAS的认可，这样在国内开展被授权的审核业务也是可以的。