Riskhantering enligt ISO 27001
Riskbedömning
Systematisk identifiering och analys av säkerhetsrisker:
-
Riskidentifiering
- Hotanalys
- Sårbarhetsbedömning
- Konsekvensanalys
- Sannolikhetsbedömning -
Riskvärdering
- Riskmatris
- Riskkriterier
- Acceptabla risknivåer
- Prioritering
Riskbehandling
Strategier för att hantera identifierade risker:
1. Riskreducering
- Implementering av kontroller
- Tekniska åtgärder
- Organisatoriska åtgärder
- Fysiska åtgärder
2. Risköverföring
- Försäkringar
- Outsourcing
- Serviceavtal
- Garantier
3. Riskacceptans
- Riskbedömning
- Beslutsprocess
- Dokumentation
- Övervakning
Förbättringsprocesser
-
Kontinuerlig förbättring
Systematisk förbättring av säkerhetsnivån:
- Mätning och analys
- Korrektiv åtgärd
- Förebyggande åtgärd
- Förbättringscykler
-
Övervakning och uppföljning
Kontinuerlig övervakning av säkerhetsnivån:
- Prestandamätning
- Effektivitetsbedömning
- Trendanalys
- Rapportering
Praktiska exempel
Exempel: Riskhantering i en finansiell organisation
En bank implementerar följande riskhanteringsprocess:
| Risk | Sannolikhet | Konsekvens | Åtgärd |
|---|---|---|---|
| Dataintrång | Hög | Kritisk | Firewall, IDS, kryptering |
| Fysisk skada | Låg | Hög | Brandskydd, backup |
| Personalrisker | Medium | Hög | Utbildning, policy |