GB/T 20984-2007信息安全技術(shù)信息安全風(fēng)險評估規(guī)范

犐犆犛３５．０４０

犔８０

中華人民共和國國家標(biāo)準(zhǔn)

犌犅／犜２０９８４—２００７

信息安全技術(shù)

信息安全風(fēng)險評估規(guī)范

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犚犻狊犽犪狊狊犲狊狊犿犲狀狋狊狆犲犮犻犳犻犮犪狋犻狅狀犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔

２００７０６１４發(fā)布２００７１１０１實(shí)施

中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局

發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會

書

犌犅／犜２０９８４—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅰ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅱ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４風(fēng)險評估框架及流程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．１風(fēng)險要素關(guān)系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２風(fēng)險分析原理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．３實(shí)施流程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５風(fēng)險評估實(shí)施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１風(fēng)險評估準(zhǔn)備!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２資產(chǎn)識別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．３威脅識別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．４脆弱性識別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

５．５已有安全措施確認(rèn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

５．６風(fēng)險分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．７風(fēng)險評估文檔記錄!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

６信息系統(tǒng)生命周期各階段的風(fēng)險評估!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．１信息系統(tǒng)生命周期概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．２規(guī)劃階段的風(fēng)險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．３設(shè)計階段的風(fēng)險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

６．４實(shí)施階段的風(fēng)險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

６．５運(yùn)行維護(hù)階段的風(fēng)險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

６．６廢棄階段的風(fēng)險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

７風(fēng)險評估的工作形式!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．２自評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．３檢查評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

附錄Ａ（資料性附錄）風(fēng)險的計算方法!!!!!!!!!!!!!!!!!!!!!!!!１８

Ａ．１使用矩陣法計算風(fēng)險!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

Ａ．２使用相乘法計算風(fēng)險!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

附錄Ｂ（資料性附錄）風(fēng)險評估的工具!!!!!!!!!!!!!!!!!!!!!!!!２４

Ｂ．１風(fēng)險評估與管理工具!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

Ｂ．２系統(tǒng)基礎(chǔ)平臺風(fēng)險評估工具!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

Ｂ．３風(fēng)險評估輔助工具!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

參考文獻(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

書

犌犅／犜２０９８４—２００７

前言

本標(biāo)準(zhǔn)的附錄Ａ和附錄Ｂ是資料性附錄。

本標(biāo)準(zhǔn)由國務(wù)院信息化工作辦公室提出。

本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會歸口。

本標(biāo)準(zhǔn)主要起草單位：國家信息中心、公安部第三研究所、國家保密技術(shù)研究所、中國信息安全產(chǎn)品

測評認(rèn)證中心、中國科學(xué)院信息安全國家重點(diǎn)實(shí)驗(yàn)室、解放軍信息技術(shù)安全研究中心、中國航天二院七

○六所、北京信息安全測評中心、上海市信息安全測評認(rèn)證中心。

本標(biāo)準(zhǔn)主要起草人：范紅、吳亞非、李京春、馬朝斌、李嵩、應(yīng)力、王寧、江常青、張鑒、趙敬宇。

Ⅰ

犌犅／犜２０９８４—２００７

引言

隨著政府部門、企事業(yè)單位以及各行各業(yè)對信息系統(tǒng)依賴程度的日益增強(qiáng)，信息安全問題受到普遍

關(guān)注。運(yùn)用風(fēng)險評估去識別安全風(fēng)險，解決信息安全問題得到了廣泛的認(rèn)識和應(yīng)用。

信息安全風(fēng)險評估就是從風(fēng)險管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的威

脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護(hù)對

策和整改措施，為防范和化解信息安全風(fēng)險，將風(fēng)險控制在可接受的水平，最大限度地保障信息安全提

供科學(xué)依據(jù)。

信息安全風(fēng)險評估作為信息安全保障工作的基礎(chǔ)性工作和重要環(huán)節(jié)，要貫穿于信息系統(tǒng)的規(guī)劃、設(shè)

計、實(shí)施、運(yùn)行維護(hù)以及廢棄各個階段，是信息安全等級保護(hù)制度建設(shè)的重要科學(xué)方法之一。

本標(biāo)準(zhǔn)條款中所指的“風(fēng)險評估”，其含義均為“信息安全風(fēng)險評估”。

Ⅱ

犌犅／犜２０９８４—２００７

信息安全技術(shù)

信息安全風(fēng)險評估規(guī)范

１范圍

本標(biāo)準(zhǔn)提出了風(fēng)險評估的基本概念、要素關(guān)系、分析原理、實(shí)施流程和評估方法，以及風(fēng)險評估在信

息系統(tǒng)生命周期不同階段的實(shí)施要點(diǎn)和工作形式。

本標(biāo)準(zhǔn)適用于規(guī)范組織開展的風(fēng)險評估工作。

２規(guī)范性引用文件

下列文件中的條款通過本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件，其隨后所有

的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，然而，鼓勵根據(jù)本部分達(dá)成協(xié)議的各方研