ISO/IEC 27003(資訊安全管理系統實作指引, ISMS-implementation guidance)附錄A
階段4: 進行風險評鑑與選擇風險處理方式
步驟17
活動:選擇控制目標與控制措施(Select the control objectives & controls)
輸入:步驟16
輸出:
文件化高階風險評鑑(Documented high-level risk assessment)
識別需要更多深入風險評鑑的需求(Identify the need for additional in-depth risk assessment)
文件化細部風險評鑑(Documented in-depth risk assessment)
聚合的風險評鑑結果(Aggregated results of risk assessment)
對應ISO27001條款:4.2.1.e) 3)(partially)
階段4(進行風險評鑑與選擇風險處理方式)的第二個步驟為進行選擇控制目標與控制措施，輸入為「組織主要過程的描述」、「組織主要過程資訊資產的識別」及「關鍵過程/資產分類」，輸出則包含「文件化高階風險評鑑」、「識別需要更多深入風險評鑑的需求」、「文件化細部風險評鑑」及「聚合的風險評鑑結果」。

＊如想瞭解更細部的說明，可以參考ISO/IEC 27003第8.3節

相關連結
30天ISMS導入分享－１７
http://ithelp.ithome.com.tw/question/10080814