发布时间：2020-08-13 作者：广汇联合来源：广汇联合

（1）风险要素

①资产

资产是组织成功的关键信息或资源，是信息安全保护的主要对象。它包括物理硬件、软件、产品生产和服务能力、人员和其它无形资产。

②威胁

威胁是潜在的能导致信息安全风险事件并对组织及其资产造成损害的活动。它可以通过IT系统或者服务，直接或间接地作用于信息系统，并导致非授权破坏、泄露、修改、损坏、不可用的损失。威胁必须利用资产固有的脆弱性才能完成对资产的损害，它可能来自人为的或非人为的、可能是故意或无意的、可能是来自环境的威胁。

③脆弱性

脆弱性是资产在与其相关的物理环境、组织、策略、人员、管理、监控、硬件、软件和信息方面所固有的弱点。脆弱性是最有可能被威胁利用并造成对组织信息系统和业务目标的损害。

④影响

影响是风险事件发生，对资产造成的后果，使一定资产或信息系统的机密性、完整性、可用性、不可否认、可审计性、真实性和可靠性遭到破坏。包括直接和非直接的影响，比如：金融损失、市场份额损失或形象损失。

⑤风险

风险是一定威胁利用资产脆弱性造成组织损失或破坏的潜在程度。它是由风险事件发生的可能性和它的影响来决定。任何资产、威胁、脆弱性和安全防护措施的变化都能对风险产生重要的影响。及时检测或确定信息系统及其环境的变化，采取适当的措施，可以降低风险。

⑥安全防护措施

安全防护措施是抵抗威胁、减少脆弱性、限制风险事件影响、检测风险事件和恢复的安全实践、策略和机制。有效的安全是在资产的多个层面提供安全防护措施，来预防、阻止、检测、限制、纠正、恢复、监视安全事件。在物理环境、技术环境、人员和管理实施安全防护，是保证信息安全的基本要求。

⑦残余风险

风险不可能完全消除，有些风险由于安全成本问题，在满足组织安全需求的前提下，成为残余的风险。

⑧其它要素

（2）风险要素关系

风险要素之间存在着多种关系，ISO27001以风险为中心，清晰表示了资产面临的安全风险与其它风险因素之间的关系。

如您想更详细的了解ISO27001标准，需要ISO27001标准，请您网络搜索广汇联合，快人一步，成就管理者风范。