信息安全风险评估方法整理

序言

本文主要基于《信息安全技术 信息安全风险评估方法》文档进行学习整理。

关键术语

信息安全风险：特定威胁利用单个或一组资产脆弱性的可能性以及由此可能给组织带来的损害。

风险评估：风险识别、风险分析 和风险评价的整个过程。

安全措施：保护资产、抵御威胁、减少脆弱性、降低安全事件的影响，以及打击信息犯罪而实施各种实践、规程和机制。

信息系统生命周期：信息系统的各个生命阶段，包括规划阶段、设计阶段、实施阶段、运行危害阶段和废弃阶段。

检查评估：由评估对象所有者的上级主管部门、业务主管部门或国家相关监管部门发起，依据国家有关法规与标准，对评估对象安全管理进行的评估活动。 

风险评估框架及流程

 风险评估基本要素包括资产、威胁、脆弱性和安全措施，并基于以上要素开展风险评估。

风险评估实施