GB/T 20984-2007信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范

犐犆犛３５．０４０

犔８０

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

犌犅／犜２０９８４—２００７

信息安全技術(shù)

信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犚犻狊犽犪狊狊犲狊狊犿犲狀狋狊狆犲犮犻犳犻犮犪狋犻狅狀犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔

２００７０６１４發(fā)布２００７１１０１實(shí)施

中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局

發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

書(shū)

犌犅／犜２０９８４—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅰ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅱ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語(yǔ)和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４風(fēng)險(xiǎn)評(píng)估框架及流程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．１風(fēng)險(xiǎn)要素關(guān)系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２風(fēng)險(xiǎn)分析原理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．３實(shí)施流程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５風(fēng)險(xiǎn)評(píng)估實(shí)施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１風(fēng)險(xiǎn)評(píng)估準(zhǔn)備!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２資產(chǎn)識(shí)別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．３威脅識(shí)別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．４脆弱性識(shí)別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

５．５已有安全措施確認(rèn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

５．６風(fēng)險(xiǎn)分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．７風(fēng)險(xiǎn)評(píng)估文檔記錄!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

６信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．１信息系統(tǒng)生命周期概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．２規(guī)劃階段的風(fēng)險(xiǎn)評(píng)估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．３設(shè)計(jì)階段的風(fēng)險(xiǎn)評(píng)估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

６．４實(shí)施階段的風(fēng)險(xiǎn)評(píng)估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

６．５運(yùn)行維護(hù)階段的風(fēng)險(xiǎn)評(píng)估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

６．６廢棄階段的風(fēng)險(xiǎn)評(píng)估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

７風(fēng)險(xiǎn)評(píng)估的工作形式!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．２自評(píng)估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．３檢查評(píng)估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

附錄Ａ（資料性附錄）風(fēng)險(xiǎn)的計(jì)算方法!!!!!!!!!!!!!!!!!!!!!!!!１８

Ａ．１使用矩陣法計(jì)算風(fēng)險(xiǎn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

Ａ．２使用相乘法計(jì)算風(fēng)險(xiǎn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

附錄Ｂ（資料性附錄）風(fēng)險(xiǎn)評(píng)估的工具!!!!!!!!!!!!!!!!!!!!!!!!２４

Ｂ．１風(fēng)險(xiǎn)評(píng)估與管理工具!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

Ｂ．２系統(tǒng)基礎(chǔ)平臺(tái)風(fēng)險(xiǎn)評(píng)估工具!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

Ｂ．３風(fēng)險(xiǎn)評(píng)估輔助工具!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

參考文獻(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

書(shū)

犌犅／犜２０９８４—２００７

前言

本標(biāo)準(zhǔn)的附錄Ａ和附錄Ｂ是資料性附錄。

本標(biāo)準(zhǔn)由國(guó)務(wù)院信息化工作辦公室提出。

本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口。

本標(biāo)準(zhǔn)主要起草單位：國(guó)家信息中心、公安部第三研究所、國(guó)家保密技術(shù)研究所、中國(guó)信息安全產(chǎn)品

測(cè)評(píng)認(rèn)證中心、中國(guó)科學(xué)院信息安全國(guó)家重點(diǎn)實(shí)驗(yàn)室、解放軍信息技術(shù)安全研究中心、中國(guó)航天二院七

○六所、北京信息安全測(cè)評(píng)中心、上海市信息安全測(cè)評(píng)認(rèn)證中心。

本標(biāo)準(zhǔn)主要起草人：范紅、吳亞非、李京春、馬朝斌、李嵩、應(yīng)力、王寧、江常青、張鑒、趙敬宇。

Ⅰ

犌犅／犜２０９８４—２００７

引言

隨著政府部門(mén)、企事業(yè)單位以及各行各業(yè)對(duì)信息系統(tǒng)依賴(lài)程度的日益增強(qiáng)，信息安全問(wèn)題受到普遍

關(guān)注。運(yùn)用風(fēng)險(xiǎn)評(píng)估去識(shí)別安全風(fēng)險(xiǎn)，解決信息安全問(wèn)題得到了廣泛的認(rèn)識(shí)和應(yīng)用。

信息安全風(fēng)險(xiǎn)評(píng)估就是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的威

脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)

策和整改措施，為防范和化解信息安全風(fēng)險(xiǎn)，將風(fēng)險(xiǎn)控制在可接受的水平，最大限度地保障信息安全提

供科學(xué)依據(jù)。

信息安全風(fēng)險(xiǎn)評(píng)估作為信息安全保障工作的基礎(chǔ)性工作和重要環(huán)節(jié)，要貫穿于信息系統(tǒng)的規(guī)劃、設(shè)

計(jì)、實(shí)施、運(yùn)行維護(hù)以及廢棄各個(gè)階段，是信息安全等級(jí)保護(hù)制度建設(shè)的重要科學(xué)方法之一。

本標(biāo)準(zhǔn)條款中所指的“風(fēng)險(xiǎn)評(píng)估”，其含義均為“信息安全風(fēng)險(xiǎn)評(píng)估”。

Ⅱ

犌犅／犜２０９８４—２００７

信息安全技術(shù)

信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范

１范圍

本標(biāo)準(zhǔn)提出了風(fēng)險(xiǎn)評(píng)估的基本概念、要素關(guān)系、分析原理、實(shí)施流程和評(píng)估方法，以及風(fēng)險(xiǎn)評(píng)估在信

息系統(tǒng)生命周期不同階段的實(shí)施要點(diǎn)和工作形式。

本標(biāo)準(zhǔn)適用于規(guī)范組織開(kāi)展的風(fēng)險(xiǎn)評(píng)估工作。

２規(guī)范性引用文件

下列文件中的條款通過(guò)本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件，其隨后所有

的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，然而，鼓勵(lì)根據(jù)本部分達(dá)成協(xié)議的各方研