CISSP考试指南笔记：1.11 风险管理

在安全语义下的风险是损害发生的可能性以及这种损害一旦发生的后果。风险管理(RM)是识别和评估风险，将其降低到可接受的水平，并确保其保持在该水平的过程。

整体风险管理

只有当潜在风险威胁到企业的底线时，企业才会关注安全。安全专业人员了解这些单独的威胁非常重要，但更重要的是他们了解如何计算这些威胁的风险并将其与业务驱动因素相对应。
NIST SP 800-39定义了风险管理的三个层次：

• 组织层关注整个业务的风险，这意味着它将框定对话的其余部分，并设置风险承受水平等重要参数。

• 业务流程层处理组织主要职能面临的风险，例如定义组织与其合作伙伴或客户之间信息流的关键程度。最底层。

• 信息系统层从信息系统的角度处理风险。

剩余内容请看本人公众号debugeeker, 链接为CISSP考试指南笔记：1.11 风险管理