风险评估是什么
信息安全风险评估识别资产、威胁与脆弱性，再按可能性与影响估计风险值：常见做法是用高/中/低定性矩阵快速排序，或对关键资产做半定量打分。产出一份风险清单，标明等级、处置建议、责任人与期限，并按优先级推进处置。
落地要点
评估必须与预算和项目挂钩，否则清单会停在纸面：高风险项要进入年度计划并配资源，中风险项给出监控与预案，低风险项按成本决定是否接受。范围要覆盖云上资产、移动终端、外包服务与新增业务线，评估周期通常为每年一次，重大变更或事件后触发复评。
基本信息
| 要素 | 资产、威胁、脆弱性、可能性、影响 |
|---|---|
| 方法 | 定性矩阵、半定量打分、必要时定量分析 |
| 周期 | 每年一次 + 重大变更或事件后触发 |
| 输出 | 风险清单：等级、处置建议、责任人、期限 |
典型使用场景
- 年度安全规划：为预算排序提供依据
- 新业务或新系统上线：识别新增的暴露面
- 等保与体系认证：形成风险评估报告作为必备材料
- 云上资产扩张：评估配置错误与共享责任边界
- 外包与采购决策：评估供应商引入的第三方风险
- 安全事件之后：复评同类风险是否仍未被处置
定性矩阵示例
定性矩阵示例
# 可能性 × 影响 → 风险等级
可能性 高 × 影响 高 → 高风险：优先处置，配资源
可能性 低 × 影响 高 → 中风险：制定预案并监控
可能性 高 × 影响 低 → 中风险：批量加固或流程约束
# 评估结果必须落到责任人与期限，否则无法跟踪处置策略
| 策略 | 适用情况 | 备注 |
|---|---|---|
| 规避 | 高风险且难以有效控制 | 停止该活动或改方案 |
| 降低 | 可通过控制措施减弱后果 | 最常见，需验证有效性 |
| 转移 | 可通过保险或外包分担 | 合同条款要写清责任 |
| 接受 | 低风险且控制成本高于损失 | 需书面授权与重评期限 |
风险不可能清零，关键是残余风险被明示：把接受的理由、批准人和下次复评时间写在清单里，后续追责与决策都有依据。