資產識別后的風險處理

  組織識別了資產的風險之后，就面臨著如何對這些風險進行處理的問題，風險處理方法大致包括以下幾種：
□ 降低風險：幾乎所有的風險都能夠被降低，組織可以從ISO/IEC 27002中選擇適當的控制來有效的降低風險。
□ 避免風險：完全避免某些風險可能非常容易，而且不需要太多的費用。例如使用一種不同的技術、改變一個程序，或實施一個通用的控制等。
□ 轉移風險：在風險不能或不易通過降低或避免而被消除的地方，經常用轉移的方法。這種方式可以有效規避低可能性、高影響的風險，例如火災、水災、地震等不可抗力因素導致的風險。風險轉移最常用的方法有參加保險和合同轉包。
□ 接受風險：由于技術和費用的限制，在不可接受的風險被降低或轉移之后，還會有一些殘留的風險。組織應確定哪些是可接受的風險，哪些是不可接受的風險，對于不可接受的風險應繼續采取進一步的措施將其降低到可接受的水平。