首先祝大家国庆快乐，假期收获满满！
采用基于风险的方法来保护数据和系统。
承担风险是做生意的自然组成部分。风险管理为决策提供信息，从而在威胁和机会之间取得适当的平衡，从而最大限度地实现组织的业务目标。网络安全领域的风险管理有助于组织中的技术、系统和信息以最合适的方式得到保护，并将资源集中在组织业务中最重要的事情上。良好的风险管理方法将贯穿整个组织，并补充其他业务风险管理方法。
有什么好处？
良好的风险管理：
通知和改进决策有助于在整个组织中发布决策，并保持董事会级别的适当监督
为适应和有效应对新的威胁和机遇奠定基础
无论网络风险管理的新手，还是正在尝试评估现有方法的有效性，本指南都将帮助了解在组织环境中什么是良好的风险管理方法 。
该怎么办?
考虑更广泛的网络风险管理背景。
- 想想组织做什么，关心什么。业务优先级和目标是什么？这似乎是网络安全的一个奇怪起点，但它为网络风险管理奠定了基础。网络风险管理与组织想要实现的目标无关，但应该支持组织目标。愿意（或不愿意）通过技术实现目标的风险将有助于组织决定采取哪些步骤来管理网络安全风险。
- 考虑管理其他类型结构来管理其他类型的业务风险。如何适应网络风险的管理和沟通？由于控制和引导组织管理网络安全风险所面临的活动和行动，有效的管理对于良好的网络安全风险管理非常重要。管理网络安全相关风险的方法应以适当的组织方式有效管理。
- 确保组织有足够的经董事会批准和拥有的政策，为整个组织制定风险管理战略，并在其他适当的组织政策中考虑网络安全。确保董事会对网络安全有足够的了解，以便他们能够了解如何支持网络安全的整体组织目标。他们应该在需要时以他们理解的形式获取他们需要的信息，以便做出决定。
了解网络风险管理需要在哪里应用
- 考虑组织使用和依赖的技术、系统、服务和信息的范围，以实现其组织目标和优先事项。应使用各种信息源来帮助您确定此范围。例如，对于现有系统，可以使用资产登记册和系统图；对于开发中的系统，可以从高级设计开始。与系统或服务的使用、管理人员或受其影响的人员交谈，也可以深入了解保护的内容和原因。
- 请记住，它包括一些可能不受直接控制但仍然属于您组织更广泛的风险问题（如使用供应链、第三方服务和云服务）。
- 别忘了考虑人们如何与技术、系统和服务互动。如何支持他们以安全可用的方式实施这一操作，有助于管理组织的网络安全风险。该系统涉及人员、流程和技术。网络风险管理方法应考虑这些不同的元素及其相互作用。
选择适合组织的网络安全风险管理方法
- 考虑哪种网络安全风险管理方法或方法适合组织。有许多工具、方法、框架和标准可供选择——有些可能是由标准或法规规定的，有些需要付费，有些可以免费使用。选择一种适合业务的方法，可以揭示相关系统和服务的良好风险信息是非常重要的。
- 理解并不总是需要详细的风险评估。例如，它可以使用Cyber Essentials提供相关保护组织免受最常见的基础Internet 攻击所需的基本控制信息。然而，如 Cyber Essentials 等基线有其局限性，因为只有 Cyber Essentials 计划通常考虑的风险将被其推荐的控制措施所覆盖。它们并不旨在管理组织可能面临的所有网络安全风险。为了获得更定制的视角，组织需要分析和评估自己的风险，以满足自己的具体需求。
- 不同的方法提供了不同的风险视角。为了尽可能了解所面临的风险，需要多种方法和方法的结合。
了解风险以及如何管理它们
- 使用所选的方法来识别、分析、评估和确定风险的优先级，并决定如何管理这些风险。例如，您是否计划通过应用某些技术或非技术控制来降低风险？你会接受风险并继续这样做而不采取任何进一步的行动来减少它吗？你打算把风险转移给其他人（比如考虑网络安全保险）吗？还是你打算通过改变组织成员的行为来消除风险来避免风险？
- 确保您正在考虑各种风险信息，并从专家或可靠的信息来源中找到信息。也可以考虑加入行业和政府内部的知识共享伙伴关系(如 CiSP 信息共享平台，它允许英国组织在安全和机密的环境中共享网络威胁信息)。
- 请记住，如果您选择应用程序控制来管理风险，您应该确保这些控制与风险成比例，可用且不会对业务运营模式产生不利影响。
有效沟通网络风险和网络风险管理
- 确保将风险管理方法有效地传达给员工和决策者，让他们了解如何管理网络安全风险，并帮助他们做出相关决策。
- 确保网络风险其他类型的风险（如法律或财务风险）来传达网络风险。
- 确保使用有意义的语言并充分解释任何风险标签或评分。使用无意义或沟通不良的标签会导致误解和误解。例如，在组织中，每个人对中等风险的解释是否相同？
应用并寻求对所选控件的信心
- 应用程序选择的控制可以降低系统和服务的风险。以下步骤可以帮助组织应用适当的安全控制和缓解措施：系统结构和配置、漏洞管理、身份和访问管理、数据安全、日志记录和监控。
- 确保了解应用程序控制后仍存在哪些风险。无论是应用一套组织风险定制控制措施，还是基于 Cyber Essentials 等基线，都不可能完全消除风险。剩余风险(称为剩余风险)应由组织内负责风险的人员理解。
- 确保所采取的缓解措施包能够有效地管理确定的风险，并考虑如何在未来使用系统时保持这种信心。
不断改进风险管理方法
- 请记住，风险管理是一个迭代过程。技术在变化，商业环境及其相关威胁和机遇也在变化。
- 定期审查风险，以确保决定风险管理的方式仍然有效和适当。特别是，当发生重大变化时，应重新审视风险评估。这可能是当威胁发生变化时，或当交付管理系统或服务技术发生变化时，或当系统使用方式发生重大变化时。
- 还需要审查风险管理的方法、框架和工具，以确保它们在业务环境中继续有效，并面临不断发展的网络安全和威胁。
参考来源：英国国家网络安全中心官网