风险处置是什么
风险处置有四个选项：降低（增加控制措施减小可能性或影响）、规避（停止高风险活动或改用其他方案）、转移（保险、合同条款、外包分担）、接受（在授权范围内承认并监控）。选择依据是处置成本与风险损失的比较，而非风险等级单一维度。
怎么记录与复评
处置后要评估残余风险并写明：加控制措施后剩余风险是否已降到可接受范围，由谁批准。接受类风险必须记录批准人、理由与重评期限，并纳入监控清单；一旦业务、合规或技术条件变化（例如上线新系统、法规更新），应重新评估等级。
基本信息
| 降低 | 增加控制措施，降低可能性或影响 |
|---|---|
| 规避 | 停止高风险活动或更换方案 |
| 转移 | 保险、合同条款或外包分担 |
| 接受 | 书面授权，记录理由与重评期限 |
典型使用场景
- 老旧系统：无法及时打补丁时采用隔离与监控替代
- 外包服务：通过合同条款转移部分责任并约定通知时限
- 高风险业务：评估是否停止或改为低风险方案
- 预算有限：对低风险项书面接受并排入下一年度
- 安全事件后：复评同类风险的处置措施是否足够
- 新业务上线：评估新增风险并确定处置方式与责任人
处置记录示例
处置记录示例
风险：自建站点无法及时打补丁（中高）
处置：迁移至托管平台并约定 SLA（转移 + 降低）
残余风险：低（有补丁时限承诺与监控）
补偿措施：定期检查版本并设置告警
批准：信息安全负责人 / 2026-09，2027-03 复评策略与记录要求
| 策略 | 适用情况 | 记录要求 |
|---|---|---|
| 降低 | 可通过控制措施减弱后果 | 写明措施与验证方式 |
| 规避 | 风险过高且无有效控制 | 说明替代方案与影响 |
| 转移 | 可通过合同或保险分担 | 条款、责任范围与通知时限 |
| 接受 | 低风险或处置成本过高 | 批准人、理由与重评期限 |
残余风险要能被看见：把处置后仍存在的风险写清并纳入监控清单，后续发生事件时才能判断是控制失效还是已知风险兑现。