风险矩阵的作用
风险矩阵把定级这件事变成两个可讨论的维度：可能性与影响。可能性看暴露面、利用条件与工具门槛；影响看数据、可用性与合规后果。矩阵一旦固定，全篇条目都按同一口径落位，避免逐条临时判断造成等级漂移。矩阵表通常放在附录，条目中标注落点即可。
基本信息
| 纵轴 | 可能性：暴露面、利用条件、工具门槛 |
|---|---|
| 横轴 | 影响：数据敏感度、可用性、合规后果 |
| 呈现方式 | 附录矩阵表与条目落点标注 |
| 口径要求 | 全篇统一，不为单条设例外 |
| 维护 | 矩阵版本更新后条目需同步重评 |
典型使用场景
- 评估开始前定标：与客户确认矩阵与等级定义，避免交付后争议
- 条目定级：逐条按两维落位，速度与一致性都好于主观判断
- 汇报沟通：用矩阵解释为什么某些技术看起来简单的问题等级更高
- 跨项目对比：同一矩阵可用于不同系统的等级分布比较
- 复测重评：环境变化后按同一矩阵重新落位
五级矩阵示例
五级矩阵示例
可能性与影响交叉定级（示例口径，需与客户确认后固定）
影响低 影响中 影响高 影响严重
可能性高 中 高 严重 严重
可能性中 低 中 高 严重
可能性低 低 低 中 高
落位说明需写明依据：暴露面、利用条件与数据敏感度各占何权重两维判断要素
| 维度 | 判断要素 | 常见偏差 |
|---|---|---|
| 可能性 | 公网可达、需否认证、工具门槛 | 只看技术难度忽略暴露面 |
| 影响 | 数据敏感度、可用性、合规 | 只写技术后果不看业务 |
| 落位依据 | 可核查的事实描述 | 凭印象定级无依据 |
| 版本一致性 | 全篇使用同一矩阵 | 中途更换口径 |
先定矩阵口径再逐条落位：逐条临时判断最容易出现同类问题等级不一致的情况。
矩阵更新后要及时重评既有条目：新旧口径混用会让整份报告的分布失去解释力。