The four Options for risk treatment

The four Options for risk treatment are not mutually exclusive. Sometimes the organization can benefit
substantially by a combination of options such as reducing the likelihood of risks, reducing their consequences,
and transferring or retaining any residual risks.
Some risk treatments can effectively address more than one risk (e.g. information security training and
awareness). A risk treatment plan shoUld be defined Whi~h elearly identifies the prior~y ordering in whloh
Individual risk treatments snouid be implemented and their timeframes. Priorities can be established using
various techniques, Including risk ranking and cost-benefit analysis. It is the organization's managers'
responslbility to decide the balance between the costs of Implementing controls and the bUdget assignment.
The identification of existing controls may determine that existing controls exceed current needs, in terms of
cost comparisons. Including maintenanoe. If removing redundant or UnnQC9Ssary controls is oonsidcrcd
(especially if the controls have high maintenance costs), Information security and cost factors should be taken
into account. Since controls m3Y Influence each other, removing redundant controls might reduce the overall
security in place. In addition, it may be cheaper to leave redundant or unnecessary controls in place than to
remove them.
Risk treatment options should be considered taking into account:
• How risk is perceived by affected parties
• The most appropriate ways to communicate to those parties
Context establishment (see 7.2 - Risk evaluation criteria) provides information on legal and requlatcry
requirements with which the organization needs to comply The risk to organizations is failure to comply and
treatment options to limit this possibility should be implemented. All constraints - organizational, technical,
structural etc. - that are Identified during the context establishment activity should be taken into account during
the risK treatment.
Once the risk treatment plan has been defined, residual risks need to be determined. This involves an update
or re-iteration of the risk assessment, taking into account the expected effects of the proposed risk treatment.
Should the residual risk still not meet the organization's risk acceptance criteria, a further iteration of risk
treatment may be necessary before proceeding to risk acceptance. More information can be found in
ISOIlEC 27002, Clause 0.3.
Output: Risk treatment plan and residual risks subject to the acceptance decision of the organization's
managers.

Kết quả (Việt) 1:

Bốn lựa chọn để xử lý rủi ro là không loại trừ lẫn nhau. Đôi khi các tổ chức có thể hưởng lợiđáng kể bởi sự kết hợp của các tùy chọn như giảm khả năng rủi ro, giảm thiểu hậu quả của họ,và chuyển hoặc giữ lại bất kỳ rủi ro còn lại.Một số phương pháp trị liệu nguy cơ có thể có hiệu quả địa chỉ nguy cơ nhiều hơn một (ví dụ: thông tin bảo mật đào tạo vànhận thức được). Một kế hoạch điều trị rủi ro phải xác định Whi ~ h elearly xác định từ trước ~ y đặt hàng ở whlohRủi ro cá nhân điều trị snouid được thực hiện và khung thời gian của họ. Ưu tiên có thể được thiết lập bằng cách sử dụngkỹ thuật khác nhau, bao gồm nguy cơ xếp hạng và chi phí-lợi ích phân tích. Đó là quản lý của tổ chứcresponslbility quyết định sự cân bằng giữa chi phí của các điều khiển Implementing và gán ngân sách.Việc xác định của các điều khiển hiện có có thể xác định điều khiển hiện tại vượt quá nhu cầu hiện tại, trong điều khoản củaso sánh chi phí. Bao gồm cả maintenanoe. Nếu loại bỏ dư thừa hoặc UnnQC9Ssary kiểm soát là oonsidcrcd(đặc biệt là nếu các điều khiển có chi phí bảo dưỡng cao), yếu tố chi phí và bảo mật thông tin cần được thực hiệnvào tài khoản. Kể từ khi điều khiển m3Y ảnh hưởng lẫn nhau, loại bỏ điều khiển dự phòng có thể làm giảm tổng thểan ninh tại chỗ. Ngoài ra, nó có thể rẻ hơn để dự phòng hoặc không cần thiết điều khiển tại chỗ hơn đểloại bỏ chúng.Rủi ro lựa chọn điều trị nên được coi là tham gia vào tài khoản:• Cách rủi ro cảm nhận của các bên bị ảnh hưởng• Những cách thích hợp nhất để giao tiếp với các bênBối cảnh thành lập (xem 7.2 - tiêu chí đánh giá rủi ro) cung cấp thông tin về pháp lý và requlatcryyêu cầu mà các tổ chức cần phải tuân thủ các rủi ro cho các tổ chức là không tuân thủ vàlựa chọn điều trị để hạn chế khả năng này nên được thực hiện. Tất cả những hạn chế - tổ chức, kỹ thuật,cấu trúc vv - mà được xác định trong bối cảnh thành lập hoạt động nên được đưa vào tài khoản trong thời giannguy cơ điều trị.Sau khi kế hoạch điều trị rủi ro đã được xác định, rủi ro còn lại cần phải được xác định. Điều này bao gồm một bản Cập Nhậthoặc lặp lại của đánh giá rủi ro, có tính đến các tác dụng dự kiến của việc điều trị các rủi ro được đề xuất.Nên nguy cơ dư vẫn không đáp ứng tiêu chí chấp nhận rủi ro của tổ chức, lặp đi lặp lại thêm rủi rođiều trị có thể là cần thiết trước khi tiếp tục để chấp nhận rủi ro. Thông tin thêm có thể được tìm thấy trongISOIlEC 27002, khoản 0,3.Đầu ra: Nguy cơ kế hoạch điều trị, rủi ro còn lại tùy thuộc vào quyết định chấp nhận của các tổ chứcnhà quản lý.

Kết quả (Việt) 2:

Bốn lựa chọn cho điều trị rủi ro là không loại trừ lẫn nhau. Đôi khi tổ chức có thể được hưởng lợi
đáng kể bởi sự kết hợp các tùy chọn như làm giảm khả năng rủi ro, giảm thiểu hậu quả của chúng,
và chuyển giao hoặc giữ lại bất kỳ rủi ro còn lại.
Một số phương pháp điều trị rủi ro hiệu quả có thể giải quyết nhiều rủi ro (ví dụ như đào tạo an ninh thông tin và
nhận thức). Một kế hoạch xử lý rủi ro cần được xác định Whi ~ h elearly xác định trước ~ y đặt hàng trong whloh
trị rủi ro cá nhân snouid được thực hiện và khung thời gian của họ. Ưu tiên có thể được thiết lập sử dụng
các kỹ thuật khác nhau, bao gồm cả bảng xếp hạng rủi ro và phân tích chi phí-lợi ích. Đó là các nhà quản lý của tổ chức
responslbility để quyết định sự cân bằng giữa chi phí kiểm soát thực hiện và phân công ngân sách.
Việc xác định các điều khiển hiện tại có thể xác định rằng các điều khiển hiện có vượt quá nhu cầu hiện tại, về
so sánh chi phí. Bao gồm maintenanoe. Nếu loại bỏ kiểm soát dư thừa hoặc UnnQC9Ssary được oonsidcrcd
(đặc biệt là nếu các điều khiển có chi phí bảo dưỡng cao), an ninh thông tin và các yếu tố chi phí nên được đưa
vào tài khoản. Kể từ khi điều khiển m3Y Ảnh hưởng lẫn nhau, loại bỏ các điều khiển dự phòng có thể làm giảm tổng thể
an ninh tại chỗ. Ngoài ra, nó có thể rẻ hơn để rời khỏi kiểm soát dư thừa hoặc không cần thiết tại chỗ hơn để
loại bỏ chúng.
Lựa chọn điều trị rủi ro cần được xem xét đưa vào tài khoản:
• Làm thế nào có nguy cơ là cảm nhận của bên bị ảnh hưởng
• Những cách thích hợp nhất để giao tiếp với các bên
thành lập Context (xem 7.2 - tiêu chí đánh giá rủi ro) cung cấp thông tin về pháp luật và requlatcry
yêu cầu mà tổ chức cần thực hiện theo các nguy cơ đối với tổ chức là không thực hiện đúng và
điều trị tùy chọn để hạn chế khả năng này nên được thực hiện. Tất cả những hạn chế - tổ chức, kỹ thuật,
cấu trúc vv - được xác định trong các hoạt động thành lập ngữ cảnh sẽ được đưa vào tài khoản trong thời gian
điều trị rủi ro.
Một khi kế hoạch xử lý rủi ro đã được xác định, rủi ro còn lại cần phải được xác định. Điều này liên quan đến một bản cập nhật
hoặc tái lặp của việc đánh giá rủi ro, có tính đến những tác động dự kiến của các xử lý rủi ro được đề xuất.
Nên rủi ro còn lại vẫn không đáp ứng các tiêu chí chấp nhận rủi ro của tổ chức, một sự lặp lại thêm nguy cơ
điều trị có thể là cần thiết trước khi tiến hành chấp nhận rủi ro. Thông tin chi tiết có thể được tìm thấy trong
ISOIlEC 27.002, khoản 0.3.
Đầu ra: kế hoạch điều trị rủi ro và rủi ro còn lại thuộc quyền quyết định chấp nhận của tổ chức
quản lý.