信息安全管理体系（ISMS）

风险管理

基本过程：背景建立、风险评估、风险处理、批准监督、监控审查、沟通咨询

风险评估包括 风险评估准备、风险要素识别、风险分析、风险结果判定 （自评估与检查评估 以自评估为主） 自评估由本级单位发起，检查评估由被评估组织的上级管理机关或业务主管机关发起

风险处理方式：降低风险、规避风险、转移风险、接受风险

威胁利用脆弱性作用于资产产生影响，威胁增加了组织资产的风险。

信息安全管理体系建设（PDCA）