操作授權 (Authorization to Operate:ATO)

資訊安全

卓建全(Cho,Chien-Chuan) 2021-10-22 14:01:53 ‧ 1214 瀏覽

分享至

-NIST SDLC 和 RMF

RMF：授權系統（ Authorize System）
授權是授權系統運行的官方管理決策。
為了促進基於風險的合理決策，決策基於有關技術和非技術保障措施的實施和有效性的可靠和最新信息。其中包括：
• 技術特性（它們是否按預期運行？）；
• 操作政策和實踐（系統是否按照規定的政策和實踐操作？）；
• 總體安全性（是否存在防護措施未解決的威脅？）；和
• 剩餘風險（是否在可接受的水平殘留？）
來源：NIST SP 800-12 R1

風險管理（Risk Management）
將對所有已識別的風險進行定量、定性或兩者兼而有之的分析，以確定風險敞口。風險評估是根據風險暴露程度決定需要處理哪些風險並確定其優先級。不符合風險評估標準的已識別風險將不會得到處理或解決。

-ISO 31000

-風險評估