在信息安全风险评估领域，NIST SP 800 - 30 和 ISO 27005 是两个非常重要的标准。当我们将NIST的系统化评估与ISO的结构化框架相结合时，对于资产识别表（含业务影响度评分）的设计与应用能够有更深入的理解和把握。
一、NIST SP 800 - 30中的相关要点
1. 系统化评估思路
- NIST SP 800 - 30强调从系统的角度看待信息安全风险评估。它有一套严谨的流程，包括确定评估范围、收集相关信息、进行脆弱性分析等步骤。例如在确定评估范围时，要明确包含哪些信息系统、网络、人员等方面的内容。这有助于全面地识别可能存在的风险。
- 学习方法：仔细研读NIST SP 800 - 30的标准文档，按照其给出的流程逐步进行分析练习。可以找一些实际的案例，按照标准流程去操作，加深理解。
2. 资产识别的关注点
- 在NIST的标准下，资产识别不仅仅关注硬件设备，还包括软件、数据、人员知识等。比如一个企业的客户关系管理系统（CRM），其中存储的客户数据是非常重要的资产，同时负责维护该系统的员工的知识和技能也是不可忽视的资产。
- 学习方法：进行头脑风暴练习，针对不同的组织类型（如金融企业、互联网公司等），列出可能存在的各类资产。
二、ISO 27005中的相关要点
1. 结构化框架优势
- ISO 27005的结构化框架提供了一个全面的视角来管理信息安全风险。它将风险评估分为风险识别、风险分析、风险评价等阶段。这种分阶段的处理方式有助于有条不紊地进行风险评估工作。
- 学习方法：构建思维导图，将ISO 27005的各个阶段以及每个阶段包含的子要素梳理出来，这样有助于整体把握框架结构。
2. 对资产识别的补充
- 在ISO 27005中，资产识别与组织的业务战略紧密相连。例如，如果一个企业的战略目标是拓展海外市场，那么与国际业务相关的资产（如跨境支付系统的安全性等）就需要重点关注。
- 学习方法：结合实际企业的战略规划案例，分析其中涉及到的资产识别要点。
三、两者结合下资产识别表（含业务影响度评分）的设计与应用
1. 设计原则
- 综合考虑NIST和ISO的理念，在设计资产识别表时，要涵盖全面的资产类别，并且按照业务重要性进行分类。例如，可以将核心业务相关的资产列为一类，辅助业务的资产列为另一类。
- 对于业务影响度评分，要结合定量和定性的方法。定量方面可以考虑资产价值、修复成本等数据；定性方面可以从对业务声誉、客户满意度等方面的影响来评估。
2. 应用示例
- 以一家电商企业为例，在其资产识别表中，网站服务器是核心资产，一旦遭受攻击导致网站瘫痪，业务影响度评分会很高。因为这不仅会导致直接的销售损失，还会影响企业的品牌形象，导致客户流失。
- 学习方法：自己动手设计不同类型企业的资产识别表，并进行业务影响度评分的模拟计算。
总之，在信息安全风险评估备考过程中，深入理解NIST SP 800 - 30与ISO 27005的结合对于掌握资产识别表的设计与应用至关重要。通过不断地学习标准文档、进行案例分析、模拟操作等方法，能够更好地应对相关的考试内容。
喵呜刷题：让学习像火箭一样快速，快来微信扫码，体验免费刷题服务，开启你的学习加速器！
