第 1 章 风险管理概述

本指南描述了风险管理方法学、它如何适用于SDLC的各阶段，以及风险管理过程是如何与系统批准（或认可）过程相结合的。

１.1 风险管理的重要性

风险管理包括三个过程：风险评估、风险减缓、以及评价与评估。本指南的第三章描述风险评估过程，包括对风险和风险影响的识别和评价，以及降低风险措施的建议。第四章描述风险减缓，它是指对由风险评估过程所推荐的风险降低措施进行优先级划分、实现和维护。第五章讨论连续的评价过程以及实现一个成功的风险管理程序的关键点。DAA或系统批准官员负责确定剩余风险是否在可接受的水平，或者在批准（或认可）IT系统投入运行之前是否应该实现补充的安全控制以进一步降低或消除残余风险。

风险管理是让IT管理者在保护措施的操作和经济成本之间寻求平衡，并最终通过对支持其机构业务的IT系统和数据进行保护而在使命能力中获益。这一过程并非仅在IT环境下才发生，事实上它遍及在我们日常生活各个方面的决策制定中。比如在家庭安全上，很多人决定在住所里安装家庭安全系统，并且按月给服务提供商付费对这些系统进行监控，以更好地保护他们的财产。可能这些房主权衡了一下系统安装和监控的成本和他们住所内物品的价值、家庭的安全，这就是一个基本的"使命"要求。

机构领导必须保证机构具备完成其使命所要求的能力。这些使命的所有者必须确定其IT系统的安全能力必须嫩够在在面对真实世界的威胁时提供要求级别的使命支持。大多数机构对IT安全方面的预算都很紧，因此，对IT安全的开销必须像其他管理决定一样进行全面检查。一套结构良好的风险管理方法，如果有效使用，能帮助管理层确定合适的控制来提供对使命必不可少的安全能力。

1.2 将风险管理集成到SDLC中

机构为其IT系统实现风险管理的根本原因是：为了将对机构的负面影响降低到最小，同时在决策制定中需要有合理的基础。有效的风险管理必须完全地集成到SDLC中。一个IT系统的SDLC包括五个阶段：启动、开发或获取、实现、操作或维护、和废弃。在某些情形下，一个IT系统可能同时跨越几个阶段。然而，无论是在是在哪个SDLC阶段进行评估，风险管理的方法是相同的。风险管理是一个可以在每个SDLC主要阶段进行的的重复过程。表2-1描述了每个SDLC阶段的特征，并说明了如何进行风险管理，从而对这些阶段提供支持：
　　◆ 初始阶段
　　◆ 开发或获得阶段
　　◆ 实施阶段
　　◆运行或维护阶段
　　◆ 处置阶段

在某些情形下，一个IT系统可能同时属于几个阶段。然而，无论评估的SDLC阶段如何，风险管理的方法是相同的。风险管理是一个可以在每个主要的SDLC过程中完成的重复的过程。表1-1描述了每个SDLC过程，包括如何进行风险管理以支持这些过程：

表格 1－1将风险管理集成到SDLC中

1.3 关键角色

风险管理是一项管理责任。本节对应该支持和参与风险管理过程的关键人员角色进行了描述。
◆　高级管理人员