ＩＣＳ ３５．０４０ １ ８０ 督黔 中 华 人 民 共 和 国 国 家 标 准 co m ＧＢ／Ｔ ２０９８４一 ２００７ fx w. 　　　　 信 息 安全 技术 信 息 安全风 险评 估 规 范 bz Ｉ 　　　　　　　　　　 ｎｆ ｏｒ ｍａｔ ｉ ｏｎｓ ｅ ｃ ｕ ｒｉ ｔ ｙｔ ｃ ｃ ｈｎｏｌ ｏｇ ｙ 一 ww w. Ｒｉ ｓ ｋａ ｓ ｓ ｃ ｓ ｓ ｍｅ ｎｔｓ Ｐｅ ｃ ｉ ｆ ｉ ｃ ａ ｔ ｉ ｏｎｆ Ｏｒｉ ｎｆ ｏｒ ｍａ ｔ ｉ ｏｎｓ ｅ ｃ ｕｒ ｉ ｔ ｙ ２００７一０６一１４发 布 中华人民共和国国家质量监督检验检疫总局 中 国 国家 标 准 化 管 理 委 员 会 ２００７一１１一 ０１实 施 发 布 ＧＢ／Ｔ ２０９８４一 ２００７ 目 别 舀 次 ・ ・・ ・ ・ ・・ ・ ・， ・・ ・ ・・ ・ ・・ ・・ ・ ・・ ・ ・・ ，・ ・ ・・ ・ ・・・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・・ ・ ・・ ・ ・・ ・・ ・ ・・ ・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・ ・・ ・・ ・ ・ ・・ ・ ・・ ・・ … … １ 引言 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ …… ｎ １ 范围 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ …… １ ２ 规范性 引用文件 ・ ・・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ・ ． ． ． ． ． ． ． ． ． ． ． ． ． ……， ． ． ． ． ． ． ． ． ． ． ． ． ． ． … …，１ co m ３ 术 语和定 义 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ． ． ． ． ． ． ． ． ． ． ． ・ ・ ・ ・ ・ ・ ・ ． ． ． ． ． ． ． ． ． ． ． ． … … １ ４ 风险评估 框架及流程 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・・ ・ ． ． ． ． ． ． ． ． ． ． ． ． ． ． …… ， ． ． ． ． ． ． ． ． ． ． ． ． ． … … ， …… ３ ４ ．１ 风险要 素关系 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ．． ． ．． ． ． ． …… ， ． ……， … ３ ４ ．２ 风险分析 原理 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ．． ． ． ． ． ． ． ． ． ． ． ． ． …… ３ ４ ．３ 实施流程 ・ ・ ・ ・ ・ ・ ４ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ． ． ． ． ． ． ． ・ ・ ・ ・ ・ ・ ……， ， ． ． ． …… ４ ５ 风险评估实施 ・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ． ． ． ． ． ． ． ． ． ． ． ． ……， ． ． ． ． ． ． ． ． ． ． …… ， ． ……， ， ， ． ． ． ． ． ． …… ５ w. ５１ 风险评估准备 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ． ． ． ． ． ． ……， ． …， ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． …… ５ ５ ． ２ 资产识别 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・・ ‘ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ……， ． ． ． ． ． ． ． ． ． ． ． ． …… ６ ５ ． ３ 威胁识别 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ……， ． ． ・ ・ …… ８ fx ５． ４ 脆弱性识别 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ・ ・ ． ． ． ． ． ． ． ． ． ． ． ． ． … …， … １ ０ ５． ５ 已有安全措施确认 ・ ・ ・ ・・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ． ． ． ． ． ． ． ． ． ． ． ． ……， ． ． ． ． ． ． ． ． ． ． ． ． ． ． ……， ， ． ． ． …… ， ． …， ． ． ． ． ． ． ． ． ． ． …… Ｈ ５． ６ 风险分析・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ …… １ ２ bz ５． ７ 风险评估文档记录 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ …… ， ， ． ． ． ． ． ．． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． …… ， ． ． ． ． ． ． ． ． ． ． ． ． ． ． … … １ ３ ６ 信息系统生命周期各阶段 的风 险评估 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ， ・ ・ ・ ……， ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ．． ． ・ ・ ． ． ． ． ． ． …… １ ４ ６ ． １ 信息系统生命周期概述・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ……从・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ …… １ ４ w. ６． ２ 规划阶段的风险评估 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ …… １ ４ ６ ．３ 设计阶段的风险评估・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ・ ・ ・ ・ ・ ・ ・ ， ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ． ． ． ． ． ． ． ． ． ． ． ． ． ……， ， …… １ ５ ６ ．４ 实施阶段的风险评估・ ・ ・ ・ ・ ・