ISO 31000
Międzynarodowe wytyczne zarządzania ryzykiem dla całej organizacji, nie tylko w bezpieczeństwie informacji.
ISO 31000 daje ogólne ramy zarządzania ryzykiem: zasady, strukturę i proces identyfikacji, analizy, oceny i postępowania z ryzykiem. Stosuje się je do dowolnego rodzaju ryzyka w organizacji, od strategicznego po operacyjne.
To wytyczne, nie standard certyfikowalny jak ISO 27001. Różnica wobec ISO 27005 jest prosta: 31000 to ogólne ramy ryzyka, a 27005 stosuje je konkretnie do ryzyka w bezpieczeństwie informacji.
Proces jest cykliczny (PDCA): ryzyko nie jest zdjęciem, tylko filmem. Nowy dostawca, nowy system czy podatność zmieniają obraz, dlatego rejestr ryzyk trzeba monitorować, a nie odkładać do szuflady po rocznej ocenie.
W praktyce: zobacz odpowiedni moduł RealSec.
Compliance, który łączy.
Pojęcia to mapa. RealSec spina je z procesami, systemami i dostawcami w jeden silnik.