残余风险.

在已规划的控制和处置措施实施之后仍然存在的风险,组织必须选择接受、转移或进一步处置。 它属于网络安全的 合规与框架 分类。

在已规划的控制和处置措施实施之后仍然存在的风险,组织必须选择接受、转移或进一步处置。

残余风险是固有风险经过现有或计划中的控制降低了发生可能性或影响之后剩下的部分。它是决策中最重要的数值,因为控制永远不可能完美,威胁也在持续演变。组织会将残余风险与其风险偏好和容忍度进行比较:超出限值的部分必须继续处置、上报或在文件化理由并指定责任人的前提下正式接受。残余风险会记录在风险登记册中并定期复审,特别是在控制失效、威胁变化或出现新依赖时。董事会和监管机构越来越要求对残余风险进行明确报告,以证明决策是经过充分论证的。

针对 残余风险 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 净风险, 处置后风险。