基于 云风险评估框架(ENISA)的风险评估方法

风险分析中要涉及资产、威胁、脆弱性三个基本要素。每个要素有各自的属性，资产的属性是资产

价值；威胁的属性可以是威胁主体、影响对象、出现频率、动机等；脆弱性的属性是资产弱点的严重程

度。风险分析的主要内容为： 

a）对资产进行识别，并对资产的价值进行赋值； 

b）对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值； 

c）对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值； 

d）根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性； 

e）根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件的损失； 

f）  根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，

即风险值。    

 

高风险资产
A1.公司声誉
A2.用户声誉
A3.员工忠诚度和经验
A4.知识产权
A5.敏感的个人资料
A6.使用者及服务提供者的个人资料
A7.使用者及服务提供者的关键个人资料
A8.日常资料（HR)
A9.需要即时提供的服务
A10.服务提供
A16.网络
A20.认证

高等级风险
R1.锁定
R2.失去治理
R3.合规风险
R6.隔离失效
R10.恶意内部人员
R21.作为证物或电子凭证
R22.管辖变更风险
R23.数据保护风险