ISO 27001的风险评估与适用性声明怎么做才经得起审核

在ISO 27001的认证审核中，风险评估和适用性声明是被查得比较细的两块内容。原因很直接：这两份产出决定了企业为什么选择这些控制措施，是整个体系的逻辑起点。本文把它们拆开讲清楚，并列出审核中常见的问题。

一、风险评估要回答四个问题

风险评估不是列风险清单，而是有计划地回答问题：有什么资产、可能受到什么威胁、存在什么脆弱性、一旦发生影响有多大、发生的可能性有多高、综合判断的风险等级是多少。

资产的识别范围要完整。常见做法是按类别梳理：硬件设备、软件与系统、数据与文档、网络与通信、服务与云资源、人员、场所与设施。每项资产要有所有者、位置和重要性等级。

威胁与脆弱性要成对分析。仅有威胁不够，因为同一威胁在不同脆弱性条件下的风险差异很大。例如勒索软件这一威胁，在有离线备份且验证过的环境和在没有备份的环境里，风险等级不应相同。

影响与可能性要有判断依据。影响可以从业务中断、财务损失、法规后果、声誉影响、人员影响几个方面考虑；可能性可以参考历史事件、行业态势和现有控制的成熟度。

二、风险准则要提前定义

风险准则包括风险接受准则、评价准则和影响准则。简单说，就是事先约定：影响分几档、可能性分几档、组合后的风险等级是几级、哪一级以上必须处置、谁来批准接受。

实践中比较常用的做法是五级评分，形成风险矩阵。也有的企业采用定性描述。无论哪种方式，关键是标准要统一、事先定义，并且在不同资产之间可比。

三、风险处置的四种方式

对超出可接受等级的风险，处置方式有四种：降低，通过增加或加强控制措施减小风险；保留，在符合准则的前提下接受风险；转移，通过保险或协议把部分后果转出去；规避，调整业务方式不再从事相关活动。

处置计划要落到具体动作上，包括措施内容、责任部门或责任人、完成时间、以及验证方式。计划完成后要有跟踪记录，证明措施确实落地。

四、适用性声明的结构与写法

适用性声明要逐条对应附录A的93项控制，一般包含四列内容：控制编号与名称、是否适用、选择或排除的理由、当前实施状态。

理由的写法有讲究。对适用的控制，可以说明它与哪些风险或合规要求相关；对排除的控制，要说明为什么不适用，例如业务中没有相应场景，或者风险已通过其他措施处理。整份声明全部适用或大面积排除，都会引起疑问。

实施状态要如实填写，并区分已实施、部分实施和计划实施。对部分实施和计划实施的条目，要与风险处置计划对应起来，说明补全安排。

五、审核中常见的问题

资产清单与实际情况不符。审核员到现场看机房、看系统，发现清单里没有的设备或系统，会追问识别的完整性。

风险等级没有依据。只给出等级，说不出影响与可能性的判断过程，或者同一类风险在不同部门给出差异很大的结论。

风险评估没有周期。标准要求按策划的时间间隔或在重大变化时重新评估，企业如果只在认证前做了一次，监督审核时容易缺依据。

适用性声明与风险处置计划脱节。声明的实施状态与计划里的措施对不上，或者计划中的措施在声明里找不到对应。

排除理由过于笼统。用“不适用”三个字排除，没有说明业务依据，通常会被要求补充。

六、把这两件事做实的建议

先定准则再评风险，不要边评边改规则。参与评估的人员要覆盖主要业务和技术部门，避免只由信息技术部门完成。资产清单建议做成台账并定期更新，与采购、资产管理和人事流程挂钩。适用性声明建议随风险处置计划的执行情况同步维护，而不是一年更新一次。

厦门格略咨询，企业资质一站式服务平台。13年专业咨询公司，3000+服务案例累计；服务内容：各类ISO体系辅导，CMMI、CCRC、ITSS、ISO27001、ISO20000、FSC、IATF16949、EcoVadis评级、ISO22000等辅导，各类补贴项目申报。

地址:厦门火炬高新区软件园三期集美大道1997号608室

联系电话：0592-6270869

公司官网：www.fjgelue.com