البند 6.1.2–6.1.3 هو القلب التحليلي للنظام. يجب تعريف وتطبيق عملية متكرّرة لـتقدير مخاطر أمن المعلومات، ثم اختيار المعالجة. يقدّم ISO/IEC 27005 إرشادات مفصّلة. ويجب أن تُنتج العملية نتائج متّسقة وقابلة للتكرار.

🔎التحديدمخاطر CIA

📐التحليلاحتمالية × أثر

⚖️التقييممقابل المعايير

🛠️المعالجةاختيار الخيارات

✍️القبولاعتماد المالك

دورة البند 6 — كل مخاطرة متبقية تحتاج قبول مالك المخاطرة.

لكل مخاطرة تحلّل الاحتمالية والعاقبة لإنتاج مستوى، ثم تقيّمها وفق معايير قبول المخاطر. وما يتجاوزها يُعالَج بإحدى أربعة خيارات.

1

2

3

4

5

2

4

6

8

10

3

6

9

12

15

4

8

12

16

20

5

10

15

20

25

مصفوفة 5×5 للاحتمالية والعاقبة تُسجّل المخاطر للمعالجة.

المعادلة مستوى المخاطرة = الاحتمالية × العاقبة. الخيارات: التعديل (تطبيق ضوابط)، والإبقاء (القبول)، والتجنّب (إزالة المصدر)، والمشاركة (التأمين/النقل).

وفق المعيار يتطلب البند 6.1.3 اختيار الضوابط لمعالجة المخاطر ومقارنتها بالملحق A للتأكد من عدم إغفال أيّ ضابط لازم — ثم إصدار بيان قابلية التطبيق. ويجب أن يعتمد ملّاك المخاطر الخطة ويقبلوا المخاطر المتبقية.

تطبيق س: بعد اختيار الضوابط، ماذا يتطلب البند 6.1.3 بشأن الملحق A؟ ج: مقارنة الضوابط المختارة بالملحق A للتأكد من عدم إغفال ضابط ضروري.

🔐 ISO/IEC 27001 Lead Implementer