风险评估流程

风险评估
0x00
准备阶段
资产识别
威胁识别
脆弱性识别
已有安全措施
风险分析
文档

0x01 准备阶段

确定风险评估的目标
确定风险评估的范围
组建适当的评估管理与实施团队
进行系统调研；确定评估依据和方法
获得最高管理者对风险评估工作的支持

0x02 资产识别

资产分类
数据
软件
硬件
服务
人员
其他

保密性赋值
完整性赋值
可用性赋值
判定资产的重要等级

0x03 威胁识别
威胁来源 环境威胁
人为因素 恶意人员
非恶意人员

威胁分类 ：
物理环境
软硬件故障
无作为，操作失误
管理不到位
恶意代码
越权，滥用
网络攻击
物理攻击
泄密
篡改
抵赖

威胁赋值

0x04 脆弱性识别

技术脆弱性：
物理环境
网络结构
系统软件
应用中间件
应用系统

管理脆弱性：
技术管理
组织管理

脆弱性赋值

0x05 已有安全措施确认

0x06 风险分析
风险值的计算：
风险值=R（A，T，V）= R(L(T，V)，F(Ia，Va ))
其中，R 表示安全风险计算函数；A 表示资产；T 表示威胁；V 表示脆弱性； Ia 表示安全事件所作
用的资产价值；Va 表示脆弱性严重程度；L 表示威胁利用资产的脆弱性导致安全事件发生的可能性；F表示安全事件发生后产生的损失。

风险结果判定

风险处理计划

残余风险评估

0x07 文档记录

风险评估方案：阐述风险评估的目标、范围、人员、评估方法、评估结果的形式和实施进度等；
b) 风险评估程序：明确评估的目的、职责、过程、相关的文档要求，以及实施本次评估所需要的
各种资产、威胁、脆弱性识别和判断依据；
c) 资产识别清单：根据组织在风险评估程序文件中所确定的资产分类方法进行资产识别，形成 资
产识别清单，明确资产的责任人/部门；
d）重要资产清单：根据资产识别和赋值的结果，形成重要资产列表，包括重要资产名称、描述、
类型、重要程度、责任人/部门等；
e) 威胁列表：根据威胁识别和赋值的结果，形成威胁列表，包括威胁名称、种类、来源、动机及
出现的频率等；
f) 脆弱性列表：根据脆弱性识别和赋值的结果，形成脆弱性列表，包括具体弱点的名称、描述、
类型及严重程度等；
g) 已有安全措施确认表：根据对已采取的安全措施确认的结果，形成已有安全措施确认表，包括
已有安全措施名称、类型、功能描述及实施效果等；
h) 风险评估报告：对整个风险评估过程和结果进行总结，详细说明被评估对象、风险评估方法、
资产、威胁、脆弱性的识别结果、风险分析、风险统计和结论等内容；
i) 风险处理计划：对评估结果中不可接受的风险制定风险处理计划，选择适当的控制目标及安全
措施，明确责任、进度、资源，并通过对残余风险的评价以确定所选择安全措施的有效性；
j) 风险评估记录：根据风险评估程序，要求风险评估过程中的各种现场记录可复现评估过程，并作为产生歧义后解决问题的依据。