信息安全風(fēng)險(xiǎn)評(píng)估指南

1、ICS 35.040L 80中華人民共和國國家標(biāo)準(zhǔn)GB/T ××××××××信息安全風(fēng)險(xiǎn)評(píng)估指南Information Security Risk Assessment Guideline（送審稿）×××× -×× -××發(fā)布×××× -×× -××實(shí)施國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局發(fā)布目次前言 .I1范圍 .12規(guī)范性引用文件 .13術(shù)語和定義 .14概述 .3

2、4.1目的與意義 .34.2目標(biāo)讀者 .34.3文檔組織 .45 風(fēng)險(xiǎn)評(píng)估框架及流程 .45.1風(fēng)險(xiǎn)要素關(guān)系圖 .45.2風(fēng)險(xiǎn)分析示意圖 .65.3實(shí)施流程 .66 風(fēng)險(xiǎn)評(píng)估實(shí)施 .76.1風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備 .76.2資產(chǎn)識(shí)別 .86.3威脅識(shí)別 .126.4脆弱性識(shí)別 .146.5已有安全措施的確認(rèn) .166.6風(fēng)險(xiǎn)分析 .176.7風(fēng)險(xiǎn)評(píng)估文件記錄 .197 風(fēng)險(xiǎn)評(píng)估在信息系統(tǒng)生命周期中的不同要求.207.1信息系統(tǒng)生命周期概述 .207.2信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估.208 風(fēng)險(xiǎn)評(píng)估的形式及角色運(yùn)用.248.1風(fēng)險(xiǎn)評(píng)估的形式 .248.2風(fēng)險(xiǎn)評(píng)估不同形式與其中各角色的關(guān)系.25附錄

3、A . .27A.1風(fēng)險(xiǎn)矩陣測(cè)量法 .27A.2威脅分級(jí)計(jì)算法 .28A.3風(fēng)險(xiǎn)綜合評(píng)價(jià)法 .29A.4安全屬性矩陣法 .29附錄 B .31B.1安全管理評(píng)價(jià)系統(tǒng) .31B.2系統(tǒng)軟件評(píng)估工具 .31B.3風(fēng)險(xiǎn)評(píng)估輔助工具 .32前言為指導(dǎo)和規(guī)范針對(duì)組織的信息系統(tǒng)及其管理的信息安全風(fēng)險(xiǎn)評(píng)估工作，特制定本標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)介紹了信息安全風(fēng)險(xiǎn)評(píng)估的基本概念、原則和要求，提出了信息安全風(fēng)險(xiǎn)評(píng)估的一般方法。本標(biāo)準(zhǔn)由國務(wù)院信息化工作辦公室提出。本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口。本標(biāo)準(zhǔn)由國家信息中心、信息安全國家重點(diǎn)實(shí)驗(yàn)室、中科網(wǎng)威、上海市信息安全測(cè)評(píng)認(rèn)證中心、北京市信息安全測(cè)評(píng)中心負(fù)責(zé)起草。本標(biāo)準(zhǔn)主

4、要起草人：范紅等人。信息安全風(fēng)險(xiǎn)評(píng)估指南1 范圍本標(biāo)準(zhǔn)提出了信息安全風(fēng)險(xiǎn)評(píng)估的實(shí)施流程、評(píng)估內(nèi)容、 評(píng)估方法及其在信息系統(tǒng)生命周期各階段的不同要求，適用于組織開展的信息安全風(fēng)險(xiǎn)評(píng)估工作。2 規(guī)范性引用文件下列文件中的條款通過本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容） 或修訂版均不適用于本標(biāo)準(zhǔn)， 然而，鼓勵(lì)根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。ISO/IEC17799-2000Informationsecuritymanagement Part1:Codeofpracticefo

5、rinformation security managementISO/IECTR13335.1Informationtechnology-GuidelinesforthemanagementofITSecurity-Part 1:Concepts and models of IT SecurityGB17859 1999 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則GB/T 19716-2005信息技術(shù)信息安全管理實(shí)用規(guī)則GB/T 19715.1-2005信息技術(shù)信息技術(shù)安全管理指南第 1 部分：信息技術(shù)安全概念和模型GB/T9361 2000計(jì)算機(jī)場(chǎng)地安全要求3術(shù)語和定義下列術(shù)語和定義適用于本標(biāo)準(zhǔn)。

6、3.1資產(chǎn) Asset對(duì)組織具有價(jià)值的信息資源，是安全策略保護(hù)的對(duì)象。3.2資產(chǎn)價(jià)值A(chǔ)sset Value資產(chǎn)的重要程度或敏感程度。資產(chǎn)價(jià)值是資產(chǎn)的屬性，也是進(jìn)行資產(chǎn)識(shí)別的主要內(nèi)容。3.3威脅 Threat可能對(duì)資產(chǎn)或組織造成損害的潛在原因。威脅可以通過威脅主體、資源、動(dòng)機(jī)、 途徑等多種屬性來刻畫。3.4脆弱性Vulnerability可能被威脅利用對(duì)資產(chǎn)造成損害的薄弱環(huán)節(jié)。3.5信息安全風(fēng)險(xiǎn)Information Security Risk人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導(dǎo)致安全事件及其對(duì)組織造成的影響。3.6信息安全風(fēng)險(xiǎn)評(píng)估Information Security R

7、isk Assessment依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過程。它要評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價(jià)值來判斷安全事件一旦發(fā)生對(duì)組織造成的影響。3.7殘余風(fēng)險(xiǎn)Residual Risk采取了安全措施后，仍然可能存在的風(fēng)險(xiǎn)。3.8機(jī)密性Confidentiality使信息不泄露給未授權(quán)的個(gè)人、實(shí)體、過程或不使信息為其利用的特性。3.9完整性 Integrality保證信息及信息系統(tǒng)不會(huì)被有意地或無意地更改或破壞的特性。3.10可用性Availability可以由

8、得到授權(quán)的實(shí)體按要求進(jìn)行訪問和使用的特性。3.11業(yè)務(wù)戰(zhàn)略Business Strategy組織為實(shí)現(xiàn)其發(fā)展目標(biāo)而制定的規(guī)則。3.12安全事件Security Event威脅利用脆弱性產(chǎn)生的危害情況。3.13安全需求Security Requirement為保證組織業(yè)務(wù)戰(zhàn)略的正常運(yùn)作而在安全措施方面提出的要求。3.14安全措施Security Measure保護(hù)資產(chǎn)、抵御威脅、減少脆弱性、降低安全事件的影響，以及打擊信息犯罪而實(shí)施的各種實(shí)踐、規(guī)程和機(jī)制的總稱。3.15自評(píng)估Self-assessment由組織自身發(fā)起，參照國家有關(guān)法規(guī)與標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及其管理進(jìn)行的風(fēng)險(xiǎn)評(píng)估活動(dòng)。3.16檢查評(píng)

9、估Inspection Assessment由被評(píng)估組織的上級(jí)主管機(jī)關(guān)或業(yè)務(wù)主管機(jī)關(guān)發(fā)起的， 依據(jù)國家有關(guān)法規(guī)與標(biāo)準(zhǔn)， 對(duì)信息系統(tǒng)及其管理進(jìn)行的具有強(qiáng)制性的檢查活動(dòng)。4 概述4.1目的與意義信息安全風(fēng)險(xiǎn)是由于資產(chǎn)的重要性，人為或自然的威脅利用信息系統(tǒng)及其管理體系的脆弱性，導(dǎo)致安全事件一旦發(fā)生所造成的影響。信息安全風(fēng)險(xiǎn)評(píng)估是指依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、 傳輸和存儲(chǔ)的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過程。它要評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價(jià)值來判斷安全事件一旦發(fā)生對(duì)組織造成的影響，即信息安全的風(fēng)險(xiǎn)。信

10、息安全風(fēng)險(xiǎn)評(píng)估是信息系統(tǒng)安全保障機(jī)制建立過程中的一種評(píng)價(jià)方法，其結(jié)果為信息安全風(fēng)險(xiǎn)管理提供依據(jù)。本標(biāo)準(zhǔn)以下條款中所指的“風(fēng)險(xiǎn)評(píng)估”，其含義均為“信息安全風(fēng)險(xiǎn)評(píng)估”。4.2目標(biāo)讀者本標(biāo)準(zhǔn)適用于為評(píng)價(jià)信息系統(tǒng)及其管理的安全風(fēng)險(xiǎn)的各類組織，包括：信息系統(tǒng)所有者：本標(biāo)準(zhǔn)為系統(tǒng)所有者選擇安全措施實(shí)施信息系統(tǒng)保護(hù)時(shí)提供技術(shù)支持。本標(biāo)準(zhǔn)中提出的安全風(fēng)險(xiǎn)理念為系統(tǒng)所有者在合理控制風(fēng)險(xiǎn)的前提下選擇技術(shù)與管理控制措施。系統(tǒng)所有者可以基于本標(biāo)準(zhǔn)的評(píng)估結(jié)果來決定信息系統(tǒng)是否滿足他們的安全需求，是否將重要資產(chǎn)的風(fēng)險(xiǎn)降低到可接受的范圍內(nèi)。 系統(tǒng)所有者在信息系統(tǒng)的運(yùn)行、管理中，可以依據(jù)本標(biāo)準(zhǔn)進(jìn)行持續(xù)性評(píng)估，以不斷識(shí)別系統(tǒng)面

11、臨的風(fēng)險(xiǎn)，為改進(jìn)策略的實(shí)施提供依據(jù)。評(píng)估者： 本標(biāo)準(zhǔn)為評(píng)估信息系統(tǒng)安全風(fēng)險(xiǎn)方面提供支持?；诒緲?biāo)準(zhǔn)的一些判定準(zhǔn)則，為評(píng)估結(jié)果的有效性和可靠性提供支持，從而為系統(tǒng)所有者決策服務(wù)。管理機(jī)構(gòu)：本標(biāo)準(zhǔn)可以作為信息系統(tǒng)所有者的上級(jí)主管部門或業(yè)務(wù)管理機(jī)構(gòu)的信息安全管理手段之一，對(duì)信息系統(tǒng)及其管理進(jìn)行安全檢查，推動(dòng)行業(yè)或地區(qū)信息安全風(fēng)險(xiǎn)管理的實(shí)施。本標(biāo)準(zhǔn)也可以作為對(duì)信息安全感興趣或有責(zé)任的組織和個(gè)人的參考資料。4.3文檔組織本標(biāo)準(zhǔn)分為兩部分：第一部分：主體部分。主要介紹風(fēng)險(xiǎn)評(píng)估的定義、原理及實(shí)施流程，對(duì)資產(chǎn)、威脅和脆弱性識(shí)別進(jìn)行了詳細(xì)的描述， 同時(shí)提出了風(fēng)險(xiǎn)評(píng)估在信息系統(tǒng)生命周期不同階段的要求，以及風(fēng)險(xiǎn)評(píng)估

12、的不同形式。第二部分： 附錄部分。 包括信息安全風(fēng)險(xiǎn)評(píng)估的方法和工具的介紹，目的是使用戶了解到具體風(fēng)險(xiǎn)判別手段的多樣性和靈活性。5風(fēng)險(xiǎn)評(píng)估框架及流程本章提出了風(fēng)險(xiǎn)評(píng)估原理及實(shí)施流程。5.1風(fēng)險(xiǎn)要素關(guān)系圖信息是一種資產(chǎn)， 資產(chǎn)所有者應(yīng)對(duì)信息資產(chǎn)進(jìn)行保護(hù)，通過分析信息資產(chǎn)的脆弱性來確定威脅可能利用哪些弱點(diǎn)來破壞其安全性。風(fēng)險(xiǎn)評(píng)估要識(shí)別資產(chǎn)相關(guān)要素的關(guān)系，從而判斷資產(chǎn)面臨的風(fēng)險(xiǎn)大小。風(fēng)險(xiǎn)評(píng)估中各要素的關(guān)系如圖1 所示：業(yè)務(wù)戰(zhàn)略依賴暴露具有脆弱性資產(chǎn)資產(chǎn)價(jià)值圖1風(fēng)險(xiǎn)要素關(guān)系圖圖 1 中方框部分的內(nèi)容為風(fēng)險(xiǎn)評(píng)估的基本要素，橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。風(fēng)險(xiǎn)評(píng)估圍繞其基本要素展開，在對(duì)這些要素的評(píng)

13、估過程中需要充分考慮業(yè)務(wù)戰(zhàn)略、資產(chǎn)價(jià)值、安全需求、安全事件、殘余風(fēng)險(xiǎn)等與這些基本要素相關(guān)的各類屬性。圖 1 中的風(fēng)險(xiǎn)要素及屬性之間存在著以下關(guān)系：（ 1）業(yè)務(wù)戰(zhàn)略依賴資產(chǎn)去實(shí)現(xiàn)；（ 2）資產(chǎn)是有價(jià)值的，組織的業(yè)務(wù)戰(zhàn)略對(duì)資產(chǎn)的依賴度越高，資產(chǎn)價(jià)值就越大；（ 3）資產(chǎn)價(jià)值越大則其面臨的風(fēng)險(xiǎn)越大；（ 4）風(fēng)險(xiǎn)是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風(fēng)險(xiǎn)越大，并可能演變成安全事件；（ 5）弱點(diǎn)越多，威脅利用脆弱性導(dǎo)致安全事件的可能性越大；（ 6）脆弱性是未被滿足的安全需求，威脅要通過利用脆弱性來危害資產(chǎn)，從而形成風(fēng)險(xiǎn)；（ 7）風(fēng)險(xiǎn)的存在及對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)導(dǎo)出安全需求；（ 8）安全需求可通過安全措施得以滿足，需

14、要結(jié)合資產(chǎn)價(jià)值考慮實(shí)施成本；（ 9）安全措施可抵御威脅，降低安全事件的發(fā)生的可能性，并減少影響；（ 10）風(fēng)險(xiǎn)不可能也沒有必要降為零， 在實(shí)施了安全措施后還會(huì)有殘留下來的風(fēng)險(xiǎn)。有些殘余風(fēng)險(xiǎn)來自于安全措施可能不當(dāng)或無效 , 在以后需要繼續(xù)控制， 而有些殘余風(fēng)險(xiǎn)則是在綜合考慮了安全成本與效益后未控制的風(fēng)險(xiǎn)，是可以被接受的；（ 11）殘余風(fēng)險(xiǎn)應(yīng)受到密切監(jiān)視，它可能會(huì)在將來誘發(fā)新的安全事件。5.2風(fēng)險(xiǎn)分析示意圖風(fēng)險(xiǎn)分析示意圖如下所示：威脅出現(xiàn)威脅識(shí)別的頻率脆弱性的風(fēng)險(xiǎn)值脆弱性識(shí)別嚴(yán)重程度安全事件的損失資產(chǎn)的資產(chǎn)識(shí)別重要性圖 2 風(fēng)險(xiǎn)分析示意圖風(fēng)險(xiǎn)分析中要涉及資產(chǎn)、 威脅、脆弱性等基本要素。每個(gè)要素有各

15、自的屬性，資產(chǎn)的屬性是資產(chǎn)價(jià)值；威脅的屬性是威脅出現(xiàn)的頻率；脆弱性的屬性是資產(chǎn)弱點(diǎn)的嚴(yán)重程度。風(fēng)險(xiǎn)分析主要內(nèi)容為：（ 1）對(duì)資產(chǎn)進(jìn)行識(shí)別，并對(duì)資產(chǎn)的重要性進(jìn)行賦值；（ 2）對(duì)威脅進(jìn)行識(shí)別，描述威脅的屬性，并對(duì)威脅出現(xiàn)的頻率賦值；（ 3）對(duì)資產(chǎn)的脆弱性進(jìn)行識(shí)別，并對(duì)具體資產(chǎn)的脆弱性的嚴(yán)重程度賦值；（ 4）根據(jù)威脅和脆弱性的識(shí)別結(jié)果判斷安全事件發(fā)生的可能性；（ 5）根據(jù)脆弱性的嚴(yán)重程度及安全事件所作用資產(chǎn)的重要性計(jì)算安全事件的損失；（ 6）根據(jù)安全事件發(fā)生的可能性以及安全事件的損失，計(jì)算安全事件一旦發(fā)生對(duì)組織的影響，即風(fēng)險(xiǎn)值。5.3實(shí)施流程圖 3 給出風(fēng)險(xiǎn)評(píng)估的實(shí)施流程，第6 章將圍繞風(fēng)險(xiǎn)評(píng)估流程

16、闡述風(fēng)險(xiǎn)評(píng)估各具體實(shí)施步驟。風(fēng)險(xiǎn)評(píng)估準(zhǔn)備資產(chǎn)識(shí)別威脅識(shí)別脆弱性識(shí)別6風(fēng)險(xiǎn)評(píng)估實(shí)施6.1風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備是整個(gè)風(fēng)險(xiǎn)評(píng)估過程有效性的保證。組織實(shí)施風(fēng)險(xiǎn)評(píng)估是一種戰(zhàn)略性的考慮，其結(jié)果將受到組織業(yè)務(wù)戰(zhàn)略、業(yè)務(wù)流程、安全需求、系統(tǒng)規(guī)模和結(jié)構(gòu)等方面的影響。因此，在風(fēng)險(xiǎn)評(píng)估實(shí)施前，應(yīng)：（1）確定風(fēng)險(xiǎn)評(píng)估的目標(biāo)；（2）確定風(fēng)險(xiǎn)評(píng)估的范圍；（3）組建適當(dāng)?shù)脑u(píng)估管理與實(shí)施團(tuán)隊(duì)；（4）選擇與組織相適應(yīng)的具體的風(fēng)險(xiǎn)判斷方法；（5）獲得最高管理者對(duì)風(fēng)險(xiǎn)評(píng)估工作的支持。6.1.1確定目標(biāo)風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備階段應(yīng)明確風(fēng)險(xiǎn)評(píng)估的目標(biāo)，為風(fēng)險(xiǎn)評(píng)估的過程提供導(dǎo)向。信息系統(tǒng)是重要的資產(chǎn)，其機(jī)密性、 完整性和可用性對(duì)于維持競(jìng)

17、爭(zhēng)優(yōu)勢(shì)、獲利能力、法規(guī)要求和組織形象是必要的。組織要面對(duì)來自內(nèi)、外部日益增長(zhǎng)的安全威脅，信息系統(tǒng)是威脅的主要目標(biāo)。由于業(yè)務(wù)信息化程度不斷提高，對(duì)信息技術(shù)的依賴日益增加，一個(gè)組織可能出現(xiàn)更多的脆弱性。風(fēng)險(xiǎn)評(píng)估的目標(biāo)是滿足組織業(yè)務(wù)持續(xù)發(fā)展在安全方面的需要，或符合相關(guān)方的要求，或遵守法律法規(guī)的規(guī)定等。6.1.2確定范圍基于風(fēng)險(xiǎn)評(píng)估目標(biāo)確定風(fēng)險(xiǎn)評(píng)估范圍是完成風(fēng)險(xiǎn)評(píng)估的前提。風(fēng)險(xiǎn)評(píng)估范圍可能是組織全部的信息及與信息處理相關(guān)的各類資產(chǎn)、管理機(jī)構(gòu)，也可能是某個(gè)獨(dú)立的系統(tǒng)，關(guān)鍵業(yè)務(wù)流程，與客戶知識(shí)產(chǎn)權(quán)相關(guān)的系統(tǒng)或部門等。6.1.3組建團(tuán)隊(duì)組建適當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估管理與實(shí)施團(tuán)隊(duì)，以支持整個(gè)過程的推進(jìn)，如成立由管理層、

18、相關(guān)業(yè)務(wù)骨干、IT 技術(shù)人員等組成的風(fēng)險(xiǎn)評(píng)估小組。評(píng)估團(tuán)隊(duì)?wèi)?yīng)能夠保證風(fēng)險(xiǎn)評(píng)估工作的有效開展。6.1.4選擇方法應(yīng)考慮評(píng)估的目的、范圍、時(shí)間、效果、人員素質(zhì)等因素來選擇具體的風(fēng)險(xiǎn)判斷方法，使之能夠與組織環(huán)境和安全要求相適應(yīng)。6.1 5獲得支持上述所有內(nèi)容確定后應(yīng)得到組織的最高管理者的支持、批準(zhǔn)，并對(duì)管理層和技術(shù)人員進(jìn)行傳達(dá)，應(yīng)在組織范圍就風(fēng)險(xiǎn)評(píng)估相關(guān)內(nèi)容進(jìn)行培訓(xùn)，以明確各有關(guān)人員在風(fēng)險(xiǎn)評(píng)估中的任務(wù)。6.2資產(chǎn)識(shí)別資產(chǎn)是具有價(jià)值的信息或資源，是安全策略保護(hù)的對(duì)象。它能夠以多種形式存在，有無形的、有形的，有硬件、軟件，有文檔、代碼，也有服務(wù)、形象等。機(jī)密性、完整性和可用性是評(píng)價(jià)資產(chǎn)的三個(gè)安全屬性。

19、信息安全風(fēng)險(xiǎn)評(píng)估中資產(chǎn)的價(jià)值不僅僅以資產(chǎn)的賬面價(jià)格來衡量，而是由資產(chǎn)在這三個(gè)安全屬性上的達(dá)成程度或者其安全屬性未達(dá)成時(shí)所造成的影響程度來決定的。安全屬性達(dá)成程度的不同將使資產(chǎn)具有不同的價(jià)值， 而資產(chǎn)面臨的威脅、 存在的脆弱性、 以及已采取的安全措施都將對(duì)資產(chǎn)安全屬性的達(dá)成程度產(chǎn)生影響。為此，有必要對(duì)組織中的資產(chǎn)進(jìn)行識(shí)別。6.2.1資產(chǎn)分類風(fēng)險(xiǎn)評(píng)估中，資產(chǎn)大多屬于不同的信息系統(tǒng)，如OA系統(tǒng)、網(wǎng)管系統(tǒng)、業(yè)務(wù)生產(chǎn)系統(tǒng)等，而且對(duì)于提供多種業(yè)務(wù)的組織，其支持業(yè)務(wù)持續(xù)運(yùn)行的系統(tǒng)數(shù)量可能更多。這時(shí)首先需要將信息系統(tǒng)及相關(guān)的資產(chǎn)進(jìn)行恰當(dāng)?shù)姆诸?，以此為基礎(chǔ)進(jìn)行下一步的風(fēng)險(xiǎn)評(píng)估。在實(shí)際工作中， 具體的資產(chǎn)分類方法

20、可以根據(jù)具體的評(píng)估對(duì)象和要求，由評(píng)估者來靈活把握。根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、文檔、服務(wù)、人員等類。表 1 列出了一種資產(chǎn)分類方法。表 1一種基于表現(xiàn)形式的資產(chǎn)分類方法分類示例存在信息媒介上的各種數(shù)據(jù)資料，包括源代碼、 數(shù)據(jù)庫數(shù)據(jù)、 系統(tǒng)文檔、數(shù)據(jù)運(yùn)行管理規(guī)程、計(jì)劃、報(bào)告、用戶手冊(cè)等系統(tǒng)軟件：操作系統(tǒng)、語言包、工具軟件、各種庫等軟件應(yīng)用軟件：外部購買的應(yīng)用軟件，外包開發(fā)的應(yīng)用軟件等源程序：各種共享源代碼、可執(zhí)行程序、自行或合作開發(fā)的各種程序等網(wǎng)絡(luò)設(shè)備：路由器、網(wǎng)關(guān)、交換機(jī)等計(jì)算機(jī)設(shè)備：大型機(jī)、服務(wù)器、工作站、臺(tái)式計(jì)算機(jī)、移動(dòng)計(jì)算機(jī)等存儲(chǔ)設(shè)備：磁帶機(jī)、磁盤陣列等移動(dòng)存儲(chǔ)設(shè)備

21、：磁帶、光盤、軟盤、U盤、移動(dòng)硬盤等硬件傳輸線路：光纖、雙絞線等保障設(shè)備：動(dòng)力保障設(shè)備（UPS、變電設(shè)備等）、空調(diào)、保險(xiǎn)柜、文件柜、門禁、消防設(shè)施等安全保障設(shè)備：防火墻、入侵檢測(cè)系統(tǒng)、身份驗(yàn)證等其他電子設(shè)備：打印機(jī)、復(fù)印機(jī)、掃描儀、傳真機(jī)等辦公服務(wù)：為提高效率而開發(fā)的管理信息系統(tǒng)（MIS ），它包括各種內(nèi)部配置管理、文件流轉(zhuǎn)管理等服務(wù)服務(wù)網(wǎng)絡(luò)服務(wù)：各種網(wǎng)絡(luò)設(shè)備、設(shè)施提供的網(wǎng)絡(luò)連接服務(wù)信息服務(wù)：對(duì)外依賴該系統(tǒng)開展服務(wù)而取得業(yè)務(wù)收入的服務(wù)文檔紙質(zhì)的各種文件、傳真、電報(bào)、財(cái)務(wù)報(bào)告、發(fā)展計(jì)劃等掌握重要信息和核心業(yè)務(wù)的人員，如主機(jī)維護(hù)主管、網(wǎng)絡(luò)維護(hù)主管及應(yīng)人員用項(xiàng)目經(jīng)理及網(wǎng)絡(luò)研發(fā)人員等其它企業(yè)形象，客戶

22、關(guān)系等6.2.2資產(chǎn)賦值對(duì)資產(chǎn)的賦值不僅要考慮資產(chǎn)本身的價(jià)值，更重要的是要考慮資產(chǎn)的安全狀況對(duì)于組織的重要性，即由資產(chǎn)在其三個(gè)安全屬性上的達(dá)成程度決定。為確保資產(chǎn)賦值時(shí)的一致性和準(zhǔn)確性，組織應(yīng)建立一個(gè)資產(chǎn)價(jià)值評(píng)價(jià)尺度，以指導(dǎo)資產(chǎn)賦值。資產(chǎn)賦值的過程也就是對(duì)資產(chǎn)在機(jī)密性、完整性和可用性上的達(dá)成程度進(jìn)行分析，并在此基礎(chǔ)上得出一個(gè)綜合結(jié)果的過程。達(dá)成程度可由安全屬性缺失時(shí)造成的影響來表示，這種影響可能造成某些資產(chǎn)的損害以至危及信息系統(tǒng)，還可能導(dǎo)致經(jīng)濟(jì)效益、市場(chǎng)份額或組織形象的損失。6.2.2.1機(jī)密性賦值根據(jù)資產(chǎn)在機(jī)密性上的不同要求， 將其分為五個(gè)不同的等級(jí)， 分別對(duì)應(yīng)資產(chǎn)在機(jī)密性上的應(yīng)達(dá)成的不同程

23、度或者機(jī)密性缺失時(shí)對(duì)整個(gè)組織的影響。表 2 提供了一種機(jī)密性賦值的參考。表 2 資產(chǎn)機(jī)密性賦值表賦值標(biāo)識(shí)定義5極高包含組織最重要的秘密，關(guān)系未來發(fā)展的前途命運(yùn)，對(duì)組織根本利益有著決定性影響，如果泄漏會(huì)造成災(zāi)難性的損害4高包含組織的重要秘密，其泄露會(huì)使組織的安全和利益遭受嚴(yán)重?fù)p害3中等包含組織的一般性秘密，其泄露會(huì)使組織的安全和利益受到損害2低包含僅能在組織內(nèi)部或在組織某一部門內(nèi)部公開的信息，向外擴(kuò)散有可能對(duì)組織的利益造成損害1可忽略包含可對(duì)社會(huì)公開的信息，公用的信息處理設(shè)備和系統(tǒng)資源等6.2.2.2完整性賦值根據(jù)資產(chǎn)在完整性上的不同要求， 將其分為五個(gè)不同的等級(jí)， 分別對(duì)應(yīng)資產(chǎn)在完整性上的達(dá)成

24、的不同程度或者完整性缺失時(shí)對(duì)整個(gè)組織的影響。表 3 提供了一種完整性賦值的參考。表 3資產(chǎn)完整性賦值表賦值標(biāo)識(shí)定義5極高完整性價(jià)值非常關(guān)鍵，未經(jīng)授權(quán)的修改或破壞會(huì)對(duì)組織造成重大的或無法接受的影響，對(duì)業(yè)務(wù)沖擊重大，并可能造成嚴(yán)重的業(yè)務(wù)中斷，難以彌補(bǔ)4高完整性價(jià)值較高，未經(jīng)授權(quán)的修改或破壞會(huì)對(duì)組織造成重大影響，對(duì)業(yè)務(wù)沖擊嚴(yán)重，比較難以彌補(bǔ)3中等完整性價(jià)值中等， 未經(jīng)授權(quán)的修改或破壞會(huì)對(duì)組織造成影響，對(duì)業(yè)務(wù)沖擊明顯，但可以彌補(bǔ)2低完整性價(jià)值較低，未經(jīng)授權(quán)的修改或破壞會(huì)對(duì)組織造成輕微影響，可以忍受，對(duì)業(yè)務(wù)沖擊輕微，容易彌補(bǔ)1可忽略完整性價(jià)值非常低，未經(jīng)授權(quán)的修改或破壞對(duì)組織造成的影響可以忽略，對(duì)業(yè)務(wù)沖

25、擊可以忽略6.2.2.3可用性賦值根據(jù)資產(chǎn)在可用性上的不同要求，將其分為五個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在可用性上的達(dá)成的不同程度。表 4 提供了一種可用性賦值的參考。表 4資產(chǎn)可用性賦值表賦值標(biāo)識(shí)定義5極高可用性價(jià)值非常高，合法使用者對(duì)信息及信息系統(tǒng)的可用度達(dá)到年度 99.9%以上4高可用性價(jià)值較高，合法使用者對(duì)信息及信息系統(tǒng)的可用度達(dá)到每天 90%以上3中等可用性價(jià)值中等，合法使用者對(duì)信息及信息系統(tǒng)的可用度在正常工作時(shí)間達(dá)到 70%以上2低可用性價(jià)值較低，合法使用者對(duì)信息及信息系統(tǒng)的可用度在正常工作時(shí)間達(dá)到 25%以上1可忽略可用性價(jià)值可以忽略，合法使用者對(duì)信息及信息系統(tǒng)的可用度在正常工作時(shí)間

26、低于 25%6.2.2.3資產(chǎn)重要性等級(jí)資產(chǎn)價(jià)值應(yīng)依據(jù)資產(chǎn)在機(jī)密性、 完整性和可用性上的賦值等級(jí)， 經(jīng)過綜合評(píng)定得出。 綜合評(píng)定方法可以根據(jù)組織自身的特點(diǎn)， 選擇對(duì)資產(chǎn)機(jī)密性、 完整性和可用性最為重要的一個(gè)屬性的賦值等級(jí)作為資產(chǎn)的最終賦值結(jié)果， 也可以根據(jù)資產(chǎn)機(jī)密性、 完整性和可用性的不同重要程度對(duì)其賦值進(jìn)行加權(quán)計(jì)算而得到資產(chǎn)的最終賦值。加權(quán)方法可根據(jù)組織的業(yè)務(wù)特點(diǎn)確定。本標(biāo)準(zhǔn)中， 為與上述安全屬性的賦值相對(duì)應(yīng)， 將資產(chǎn)重要性劃分為五級(jí)， 級(jí)別越高表示資產(chǎn)重要性程度越高。也可以根據(jù)組織的實(shí)際情況確定資產(chǎn)識(shí)別中的賦值依據(jù)和等級(jí)。表 5 提供了一種資產(chǎn)重要性等級(jí)劃分的參考。表 5 資產(chǎn)重要性等級(jí)劃

27、分表等級(jí)標(biāo)識(shí)定義5很高非常重要，其安全屬性破壞后可能對(duì)組織造成非常嚴(yán)重的損失4高重要，其安全屬性破壞后可能對(duì)組織造成比較嚴(yán)重的損失3中比較重要，其安全屬性破壞后可能對(duì)組織造成中等程度的損失2低不太重要，其安全屬性破壞后可能對(duì)組織造成較低的損失1很低不重要，其安全屬性破壞后對(duì)組織造成導(dǎo)很小的損失，甚至忽略不計(jì)評(píng)估者可根據(jù)資產(chǎn)賦值結(jié)果，確定重要資產(chǎn)的范圍，并主要圍繞重要資產(chǎn)展開以下實(shí)施步驟。6.3威脅識(shí)別威脅是一種對(duì)組織及其資產(chǎn)構(gòu)成潛在破壞的可能性因素，是客觀存在的。 造成威脅的因素可分為人為因素和環(huán)境因素。根據(jù)威脅的動(dòng)機(jī)，人為因素又可分為惡意和無意兩種。環(huán)境因素包括自然界不可抗的因素和其它物理因

28、素。威脅作用形式可以是對(duì)信息系統(tǒng)直接或間接的攻擊，例如非授權(quán)的泄露、 篡改、刪除等，在機(jī)密性、完整性或可用性等方面造成損害；也可能是偶發(fā)的、或蓄意的事件。6.3.1威脅分類在對(duì)威脅進(jìn)行分類前，首先要考慮威脅的來源。表 6 提供了一種威脅來源的分類方法。表 6威脅來源列表來源描述由于斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、環(huán)境因素洪災(zāi)、火災(zāi)、地震等環(huán)境條件和自然災(zāi)害；硬件、數(shù)據(jù)、通訊線路方面的故障意外事故或由于軟件、不滿的或有預(yù)謀的內(nèi)部人員對(duì)信息系統(tǒng)進(jìn)行惡意破壞；采用自主的或內(nèi)外勾結(jié)的方式盜竊機(jī)密信息或進(jìn)行篡改，獲取利益惡意人員外部人員利用信息系統(tǒng)的脆弱性，對(duì)網(wǎng)絡(luò)和系統(tǒng)的機(jī)密性、完整性

29、和可用性進(jìn)行破壞，以獲取利益或炫耀能力人為因素內(nèi)部人員由于缺乏責(zé)任心，或者由于不關(guān)心和不專注，或者沒有遵循規(guī)章制度和操作流程而導(dǎo)致故障或被攻擊；內(nèi)部人員由無惡意人員于缺乏培訓(xùn)， 專業(yè)技能不足故障或被攻擊,不具備崗位技能要求而導(dǎo)致信息系統(tǒng)對(duì)威脅進(jìn)行分類的方式有多種多樣，針對(duì)上表威脅來源， 可以根據(jù)其表現(xiàn)形式將威脅分為以下種類。表 7 提供了一種基于表現(xiàn)形式的威脅分類方法。表7一種基于表現(xiàn)形式的威脅分類表種類描述由于設(shè)備硬件故障、通訊鏈路中斷、系統(tǒng)本身或軟件Bug軟硬件故障導(dǎo)致對(duì)業(yè)務(wù)高效穩(wěn)定運(yùn)行的影響斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、物理環(huán)境威脅洪災(zāi)、火災(zāi)、地震等環(huán)境問題和自然災(zāi)害

30、由于應(yīng)該執(zhí)行而沒有執(zhí)行相應(yīng)的操作，或無意地執(zhí)行了錯(cuò)無作為或操作失誤誤的操作，對(duì)系統(tǒng)造成影響安全管理無法落實(shí)，不到位，造成安全管理不規(guī)范，或者管理不到位管理混亂，從而破壞信息系統(tǒng)正常有序運(yùn)行具有自我復(fù)制、自我傳播能力，對(duì)信息系統(tǒng)構(gòu)成破壞的程惡意代碼和病毒序代碼通過采用一些措施，超越自己的權(quán)限訪問了本來無權(quán)訪問越權(quán)或?yàn)E用的資源；或者濫用自己的職權(quán)，做出破壞信息系統(tǒng)的行為利用黑客工具和技術(shù)，例如偵察、密碼猜測(cè)攻擊、緩沖區(qū)黑客攻擊技術(shù)溢出攻擊、安裝后門、嗅探、偽造和欺騙、拒絕服務(wù)攻擊等手物理攻擊泄密篡改抵賴段對(duì)信息系統(tǒng)進(jìn)行攻擊和入侵物理接觸、物理破壞、盜竊機(jī)密泄漏，機(jī)密信息泄漏給他人非法修改信息，破壞

31、信息的完整性不承認(rèn)收到的信息和所作的操作和交易6.3.2威脅賦值判斷威脅出現(xiàn)的頻率是威脅識(shí)別的重要工作， 評(píng)估者應(yīng)根據(jù)經(jīng)驗(yàn)和 （或）有關(guān)的統(tǒng)計(jì)數(shù)據(jù)來進(jìn)行判斷。在風(fēng)險(xiǎn)評(píng)估過程中， 還需要綜合考慮以下三個(gè)方面， 以形成在某種評(píng)估環(huán)境中各種威脅出現(xiàn)的頻率：（ 1) 以往安全事件報(bào)告中出現(xiàn)過的威脅及其頻率的統(tǒng)計(jì)；（ 2) 實(shí)際環(huán)境中通過檢測(cè)工具以及各種日志發(fā)現(xiàn)的威脅及其頻率的統(tǒng)計(jì)；（ 3) 近一兩年來國際組織發(fā)布的對(duì)于整個(gè)社會(huì)或特定行業(yè)的威脅及其頻率統(tǒng)計(jì)，以及發(fā)布的威脅預(yù)警。威脅頻率等級(jí)劃分為五級(jí)，分別代表威脅出現(xiàn)的頻率的高低。等級(jí)數(shù)值越大， 威脅出現(xiàn)的頻率越高。表 8 提供了威脅出現(xiàn)頻率的一種賦值方

32、法。表 8 威脅賦值表等級(jí)標(biāo)識(shí)定義5很高威脅出現(xiàn)的頻率很高，在大多數(shù)情況下幾乎不可避免或者可以證實(shí)經(jīng)常發(fā)生過4高威脅出現(xiàn)的頻率較高，在大多數(shù)情況下很有可能會(huì)發(fā)生或者可以證實(shí)多次發(fā)生過3中威脅出現(xiàn)的頻率中等，在某種情況下可能會(huì)發(fā)生或被證實(shí)曾經(jīng)發(fā)生過2低威脅出現(xiàn)的頻率較小，一般不太可能發(fā)生，也沒有被證實(shí)發(fā)生過1很低威脅幾乎不可能發(fā)生，僅可能在非常罕見和例外的情況下發(fā)生6.4脆弱性識(shí)別脆弱性是對(duì)一個(gè)或多個(gè)資產(chǎn)弱點(diǎn)的總稱。 脆弱性識(shí)別也稱為弱點(diǎn)識(shí)別， 弱點(diǎn)是資產(chǎn)本身存在的， 如果沒有相應(yīng)的威脅發(fā)生， 單純的弱點(diǎn)本身不會(huì)對(duì)資產(chǎn)造成損害。 而且如果系統(tǒng)足夠強(qiáng)健， 再嚴(yán)重的威脅也不會(huì)導(dǎo)致安全事件，并造成損失

33、。即，威脅總是要利用資產(chǎn)的弱點(diǎn)才可能造成危害。資產(chǎn)的脆弱性具有隱蔽性， 有些弱點(diǎn)只有在一定條件和環(huán)境下才能顯現(xiàn)， 這是脆弱性識(shí)別中最為困難的部分。 需要注意的是， 不正確的、 起不到應(yīng)有作用的或沒有正確實(shí)施的安全措施本身就可能是一個(gè)弱點(diǎn)。脆弱性識(shí)別將針對(duì)每一項(xiàng)需要保護(hù)的資產(chǎn)，找出可能被威脅利用的弱點(diǎn)，并對(duì)脆弱性的嚴(yán)重程度進(jìn)行評(píng)估。 脆弱性識(shí)別時(shí)的數(shù)據(jù)應(yīng)來自于資產(chǎn)的所有者、使用者， 以及相關(guān)業(yè)務(wù)領(lǐng)域的專家和軟硬件方面的專業(yè)等人員。脆弱性識(shí)別所采用的方法主要有：?jiǎn)柧碚{(diào)查、工具檢測(cè)、人工核查、文檔查閱、滲透性測(cè)試等。6.4.1脆弱性識(shí)別內(nèi)容脆弱性的識(shí)別可以以資產(chǎn)為核心， 即根據(jù)每個(gè)資產(chǎn)分別識(shí)別其存在

34、的弱點(diǎn)， 然后綜合評(píng)價(jià)該資產(chǎn)的脆弱性；也可以分物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用等層次進(jìn)行識(shí)別，然后與資產(chǎn)、威脅結(jié)合起來。脆弱性識(shí)別主要從技術(shù)和管理兩個(gè)方面進(jìn)行， 技術(shù)脆弱性涉及物理層、各個(gè)層面的安全問題。 管理脆弱性又可分為技術(shù)管理和組織管理兩方面，網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層等前者與具體技術(shù)活動(dòng)相關(guān)，后者與管理環(huán)境相關(guān)。對(duì)不同的識(shí)別對(duì)象，其脆弱性識(shí)別的具體要求應(yīng)參照相應(yīng)的技術(shù)或管理標(biāo)準(zhǔn)實(shí)施。例如， 對(duì)物理環(huán)境的脆弱性識(shí)別可以參照GB/T9361 2000計(jì)算機(jī)場(chǎng)地安全要求中的技術(shù)指標(biāo)實(shí)施；對(duì)操作系統(tǒng)、數(shù)據(jù)庫可以參照 GB17859 1999 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則中的技術(shù)指標(biāo)實(shí)施。管理脆弱性識(shí)別

35、方面可以參照ISO/IEC 17799-2000Information security management Part 1:Code ofpractice for information security management 的要求對(duì)安全管理制度及其執(zhí)行情況進(jìn)行檢查，發(fā)現(xiàn)管理漏洞和不足。表 9 提供了一種脆弱性識(shí)別內(nèi)容的參考。表 9 脆弱性識(shí)別內(nèi)容表類型識(shí)別對(duì)象識(shí)別內(nèi)容從機(jī)房場(chǎng)地、機(jī)房防火、 機(jī)房供配電、機(jī)房防靜電、機(jī)房接物理環(huán)境地與防雷、 電磁防護(hù)、通信線路的保護(hù)、 機(jī)房區(qū)域防護(hù)、 機(jī)房設(shè)備管理等方面進(jìn)行識(shí)別。技術(shù)脆弱性從物理保護(hù)、用戶帳號(hào)、口令策略、資源共享、事件審計(jì)、服務(wù)器（含訪問控

36、制、 新系統(tǒng)配置（初始化） 、注冊(cè)表加固、 網(wǎng)絡(luò)安全、操作系統(tǒng)）系統(tǒng)管理等方面進(jìn)行識(shí)別。網(wǎng)絡(luò)結(jié)構(gòu)從網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)、 邊界保護(hù)、 外部訪問控制策略、 內(nèi)部訪問控制策略、網(wǎng)絡(luò)設(shè)備安全配置等方面進(jìn)行識(shí)別。從補(bǔ)丁安裝、鑒別機(jī)制、口令機(jī)制、 訪問控制、網(wǎng)絡(luò)和服務(wù)數(shù)據(jù)庫設(shè)置、備份恢復(fù)機(jī)制、審計(jì)機(jī)制等方面進(jìn)行識(shí)別。審計(jì)機(jī)制、審計(jì)存儲(chǔ)、訪問控制策略、數(shù)據(jù)完整性、通信、應(yīng)用系統(tǒng)鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識(shí)別。物理和環(huán)境安全、通信與操作管理、訪問控制、 系統(tǒng)開發(fā)與技術(shù)管理管理脆弱性維護(hù)、業(yè)務(wù)連續(xù)性。組織管理安全策略、 組織安全、資產(chǎn)分類與控制、人員安全、符合性6.4.2脆弱性賦值可以根據(jù)對(duì)資產(chǎn)損害程度、技術(shù)實(shí)現(xiàn)的

37、難易程度、弱點(diǎn)流行程度， 采用等級(jí)方式對(duì)已識(shí)別的脆弱性的嚴(yán)重程度進(jìn)行賦值。脆弱性由于很多弱點(diǎn)反映的是同一方面的問題，應(yīng)綜合考慮這些弱點(diǎn)，最終確定這一方面的脆弱性嚴(yán)重程度。對(duì)某個(gè)資產(chǎn)， 其技術(shù)脆弱性的嚴(yán)重程度受到組織的管理脆弱性的影響。因此，資產(chǎn)的脆弱性賦值還應(yīng)參考技術(shù)管理和組織管理脆弱性的嚴(yán)重程度。脆弱性嚴(yán)重程度的等級(jí)劃分為五級(jí)，分別代表資產(chǎn)脆弱性嚴(yán)重程度的高低。等級(jí)數(shù)值越大，脆弱性嚴(yán)重程度越高。表 10 提供了脆弱性嚴(yán)重程度的一種賦值方法。表 10 脆弱性嚴(yán)重程度賦值表等級(jí)標(biāo)識(shí)定義5很高如果被威脅利用，將對(duì)資產(chǎn)造成完全損害4高如果被威脅利用，將對(duì)資產(chǎn)造成重大損害3中如果被威脅利用，將對(duì)資產(chǎn)造

38、成一般損害2低如果被威脅利用，將對(duì)資產(chǎn)造成較小損害1很低如果被威脅利用，將對(duì)資產(chǎn)造成的損害可以忽略6.5已有安全措施的確認(rèn)組織應(yīng)對(duì)已采取的安全措施的有效性進(jìn)行確認(rèn)，對(duì)有效的安全措施繼續(xù)保持，以避免不必要的工作和費(fèi)用， 防止安全措施的重復(fù)實(shí)施。對(duì)于確認(rèn)為不適當(dāng)?shù)陌踩胧?yīng)核實(shí)是否應(yīng)被取消，或者用更合適的安全措施替代。安全措施可以分為預(yù)防性安全措施和保護(hù)性安全措施兩種。預(yù)防性安全措施可以降低威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，如入侵檢測(cè)系統(tǒng)； 保護(hù)性安全措施可以減少因安全事件發(fā)生對(duì)信息系統(tǒng)造成的影響，如業(yè)務(wù)持續(xù)性計(jì)劃。已有安全措施的確認(rèn)與脆弱性識(shí)別存在一定的聯(lián)系。一般來說， 安全措施的使用將減

39、少脆弱性，但安全措施的確認(rèn)并不需要與脆弱性識(shí)別過程那樣具體到每個(gè)資產(chǎn)、組件的弱點(diǎn)， 而是一類具體措施的集合。比較明顯的例子是防火墻的訪問控制策略，不必要描述具體的端口控制策略、用戶控制策略，只需要表明采用的訪問控制措施。6.6風(fēng)險(xiǎn)分析6.6.1風(fēng)險(xiǎn)計(jì)算原理在完成了資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別，以及對(duì)已有安全措施確認(rèn)后，將采用適當(dāng)?shù)姆椒ㄅc工具確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，考慮安全事件一旦發(fā)生其所作用的資產(chǎn)的重要性及脆弱性的嚴(yán)重程度判斷安全事件造成的損失對(duì)組織的影響，即安全風(fēng)險(xiǎn)。本標(biāo)準(zhǔn)給出了風(fēng)險(xiǎn)計(jì)算原理，以下面的范式形式化加以說明：風(fēng)險(xiǎn)值 =R（A， T， V）= R(L(T ，

40、V) ， F(Ia ， Va )其中， R 表示安全風(fēng)險(xiǎn)計(jì)算函數(shù)；A 表示資產(chǎn)； T 表示威脅； V 表示脆弱性；Ia表示安全事件所作用的資產(chǎn)重要程度； Va 表示脆弱性嚴(yán)重程度； L 表示威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件發(fā)生的可能性；F 表示安全事件發(fā)生后產(chǎn)生的損失。有以下三個(gè)關(guān)鍵計(jì)算環(huán)節(jié)：1、計(jì)算安全事件發(fā)生的可能性根據(jù)威脅出現(xiàn)頻率及脆弱性狀況，計(jì)算威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，即：安全事件發(fā)生的可能性 =L( 威脅出現(xiàn)頻率，脆弱性 ) L(T ，V )在具體評(píng)估中，應(yīng)綜合攻擊者技術(shù)能力（專業(yè)技術(shù)程度、攻擊設(shè)備等）、脆弱性被利用的難易程度（可訪問時(shí)間、設(shè)計(jì)和操作知識(shí)公開程度等）以及資產(chǎn)吸引力等