| 要素 | 资产、威胁、脆弱性、可能性和影响 |
|---|---|
| 方法 | 定性矩阵 / 半定量打分 / 定量分析 |
| 输出 | 风险清单：等级、处置建议、责任人 |
矩阵示例
矩阵示例
可能性 高 × 影响 高 → 高风险（优先处置）
可能性 低 × 影响 高 → 中风险（制定预案）
评估周期：每年 + 重大变更触发处置策略
| 策略 | 适用 |
|---|---|
| 规避 | 高风险且难以控制 |
| 降低 | 加控制措施减小损失 |
| 转移 | 保险或外包分担 |
| 接受 | 低风险且成本高于损失 |
信息安全风险评估
风险评估识别资产、威胁与脆弱性，评估可能性与影响得出风险值：常用方法包括定性矩阵（高/中/低）与定量分析；产出风险清单并按优先级处置。
易错点
- 只评不管：风险清单与预算和项目脱节
- 范围遗漏新业务：云上资产与移动终端被忽略
数据来源与参考
- ISO/IEC 27005 信息安全风险管理指南
- GB/T 20984 信息安全风险评估规范