GB/T 20984-2007信息安全技術信息安全風險評估規范

犐犆犛３５．０４０

犔８０

中華人民共和國國家標準

犌犅／犜２０９８４—２００７

信息安全技術

信息安全風險評估規范

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犚犻狊犽犪狊狊犲狊狊犿犲狀狋狊狆犲犮犻犳犻犮犪狋犻狅狀犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔

２００７０６１４發布２００７１１０１實施

中華人民共和國國家質量監督檢驗檢疫總局

發布

中國國家標準化管理委員會

書

犌犅／犜２０９８４—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅰ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅱ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４風險評估框架及流程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．１風險要素關系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２風險分析原理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．３實施流程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５風險評估實施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１風險評估準備!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２資產識別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．３威脅識別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．４脆弱性識別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

５．５已有安全措施確認!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

５．６風險分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．７風險評估文檔記錄!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

６信息系統生命周期各階段的風險評估!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．１信息系統生命周期概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．２規劃階段的風險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．３設計階段的風險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

６．４實施階段的風險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

６．５運行維護階段的風險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

６．６廢棄階段的風險評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

７風險評估的工作形式!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．２自評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．３檢查評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

附錄Ａ（資料性附錄）風險的計算方法!!!!!!!!!!!!!!!!!!!!!!!!１８

Ａ．１使用矩陣法計算風險!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

Ａ．２使用相乘法計算風險!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

附錄Ｂ（資料性附錄）風險評估的工具!!!!!!!!!!!!!!!!!!!!!!!!２４

Ｂ．１風險評估與管理工具!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

Ｂ．２系統基礎平臺風險評估工具!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

Ｂ．３風險評估輔助工具!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

書

犌犅／犜２０９８４—２００７

前言

本標準的附錄Ａ和附錄Ｂ是資料性附錄。

本標準由國務院信息化工作辦公室提出。

本標準由全國信息安全標準化技術委員會歸口。

本標準主要起草單位：國家信息中心、公安部第三研究所、國家保密技術研究所、中國信息安全產品

測評認證中心、中國科學院信息安全國家重點實驗室、解放軍信息技術安全研究中心、中國航天二院七

○六所、北京信息安全測評中心、上海市信息安全測評認證中心。

本標準主要起草人：范紅、吳亞非、李京春、馬朝斌、李嵩、應力、王寧、江常青、張鑒、趙敬宇。

Ⅰ

犌犅／犜２０９８４—２００７

引言

隨著政府部門、企事業單位以及各行各業對信息系統依賴程度的日益增強，信息安全問題受到普遍

關注。運用風險評估去識別安全風險，解決信息安全問題得到了廣泛的認識和應用。

信息安全風險評估就是從風險管理角度，運用科學的方法和手段，系統地分析信息系統所面臨的威

脅及其存在的脆弱性，評估安全事件一旦發生可能造成的危害程度，提出有針對性的抵御威脅的防護對

策和整改措施，為防范和化解信息安全風險，將風險控制在可接受的水平，最大限度地保障信息安全提

供科學依據。

信息安全風險評估作為信息安全保障工作的基礎性工作和重要環節，要貫穿于信息系統的規劃、設

計、實施、運行維護以及廢棄各個階段，是信息安全等級保護制度建設的重要科學方法之一。

本標準條款中所指的“風險評估”，其含義均為“信息安全風險評估”。

Ⅱ

犌犅／犜２０９８４—２００７

信息安全技術

信息安全風險評估規范

１范圍

本標準提出了風險評估的基本概念、要素關系、分析原理、實施流程和評估方法，以及風險評估在信

息系統生命周期不同階段的實施要點和工作形式。

本標準適用于規范組織開展的風險評估工作。

２規范性引用文件

下列文件中的條款通過本標準的引用而成為本標準的條款。凡是注日期的引用文件，其隨后所有

的修改單（不包括勘誤的內容）或修訂版均不適用于本標準，然而，鼓勵根據本部分達成協議的各方研