本文目录导读：
CISP-RM（注册信息安全专业人员-风险管理）是中国信息安全测评中心针对风险管理方向的专业认证资质，其核心在于帮助企业或组织建立、实施、维护并持续改进信息安全风险管理体系。
CISP-RM 风险策略框架，虽然官方不直接称为“风险策略框架”，但风险管理流程中核心的“风险策略”部分是其顶层设计的关键，以下是基于CISP-RM知识体系提炼的风险策略框架核心要素及逻辑关系：
核心组成：三层架构
CISP-RM的风险策略框架通常可以理解为 “战略层-管理层-执行层” 的三层结构。
-
战略层（方针与策略层）
- 目的：确立风险管理的总体方向、原则和目标,与组织业务战略对齐。
- 关键要素：
- 风险方针：最高管理层签署的声明,确立风险管理承诺。
- 风险偏好：组织为实现目标愿意接受的风险类型和总量。
- 风险容忍度：针对特定风险（如数据泄露、系统宕机）可接受的偏离幅度。
- 风险策略：明确选择规避、转移、降低还是接受风险的原则。
-
管理层（流程与制度层）
- 目的：定义风险管理的规范流程、组织架构、角色职责和沟通机制。
- 关键要素：
- 风险管理流程：基于ISO 31000或GB/T 24353，包括背景建立、风险评估（识别、分析、评价）、风险处置、监控审查、沟通记录。
- 组织架构：明确董事会、风险管理委员会、信息安全部门、业务部门各自的职责。
- 制度文件：标准化操作流程、评估方法（如FMEA、风险矩阵）、模板和报告机制。
-
执行层（技术与工具层）
- 目的：通过具体的技术、工具和手段落地风险管理策略。
- 关键要素：
- 风险评估工具：漏洞扫描、渗透测试、基线核查、威胁建模。
- 风险处置工具：防火墙、IDS/IPS、SIEM、DLP、加密措施等。
- 度量与监控：KPI（关键绩效指标）、RTO/RPO（恢复时间目标/恢复点目标）、风险热图、风险登记册。
核心逻辑流程
CISP-RM强调风险策略是一个闭环的持续改进过程,逻辑顺序如下：
- 环境建立与策略制定：明确内外部环境、组织风险偏好、定义评价准则。
- 风险评估（核心）：
- 识别：识别资产、威胁、脆弱性。
- 分析：计算或定性判断风险发生的可能性和影响程度。
- 评价：将风险结果与风险准则进行比较,确定风险等级。
- 风险处置策略选择：根据风险等级和策略，选择处置方式：
- 降低：实施安全控制措施。
- 转移：购买保险、外包给第三方。
- 规避：放弃相关业务或技术方案。
- 接受：明确保留风险,并做好应急准备。
- 风险监控与审查：持续跟踪风险状态、剩余风险和策略有效性。
- 沟通与记录：确保策略和结果在整个过程中被相关方理解。
关键策略要点（CISP-RM考点向）
在CISP-RM考试和实践中,以下策略点常被重点考察：
- 风险偏好与业务目标的平衡：策略不能一味追求“绝对安全”,而应与业务发展的效益与成本相平衡。
- 合规驱动与自驱动：策略既要符合《网络安全法》《数据安全法》《等保2.0》等强制性法律标准,也要基于组织自身风险状况主动制定。
- 残余风险管理：策略必须明确对“处置后仍存在的风险”的管理方式（如持续监控或定期评审）。
- 风险沟通与文化：策略应包括如何将风险意识融入组织文化,向所有员工传达简单明了的风险规则。
CISP-RM的风险策略框架本质上是一个 “从顶层规划到落地执行再回到评估反馈”的动态闭环体系,其核心价值在于：
- 指导性：为日常安全决策提供方向（我们不接受未经授权的外部访问”）。
- 适应性：能够随业务变化、威胁环境变化进行动态调整。
- 可审计性：策略的制定和执行过程有完整记录,支持内外部审计。
如果你正在备考或实践CISP-RM，建议将上述框架与GB/T 20984（信息安全风险评估规范）、ISO 31000（风险管理指南） 和组织的实际业务场景结合起来理解。
