7.2 評價原則
a) 風險處理目標實現原則。在風險處理效果評價時,重點要驗證風險處理目標列表中確定的目標已經實現。
b) 殘余風險可接受準則。風險處理的目的是為了將風險控制在可接受的范圍內,因此評價風險處理效果,就要評價實施風險處理后的殘余風險是否可接受。
c) 安全投入合理準則。既要保證殘余風險程度是可接受的,又要防止為了使殘余風險程度足夠低而作出了遠遠超過需要的投入。
在滿足以上準則的基礎上,還可制定其他效果評價準則。例如,在同樣安全投入和同樣殘余風險程度時,傾向于選擇持續有效時間長的控制措施。
GB/T 33132—2016 信息安全技術 信息安全風險處理實施指南
推薦文章: