安全评估方法论：三大主流框架深度对比

做安全评估这么多年，我经常被问到同一个问题：「到底该用哪个框架？」

说实话，没有银弹。每个框架都有自己的脾气。有人觉得NIST SP 800-30太繁琐，有人说ISO 27001太抽象，还有人说OCTAVE学不会。

嗯，这章我就把这几个主流框架掰开了讲。你理解了它们的设计思路，自然就知道怎么选了。

1. NIST SP 800-30：最系统的风险评估流程

NIST SP 800-30，全称是《信息安全风险评估指南》。说白了，它是美国政府出的标准作业流程。

我个人习惯用这个框架来兜底——当客户说「我要一个最完整的风险评估」，我基本就拿800-30出来。

它把风险评估拆成了九个步骤：

1. 系统特征描述——搞清楚你要评估什么
2. 威胁识别——谁可能搞你
3. 脆弱性识别——哪里容易被搞
4. 控制分析——已经有什么防护
5. 可能性评估——搞成的概率多大
6. 影响分析——搞成的话损失多少
7. 风险确定——算出风险等级
8. 控制建议——怎么补
9. 文档记录——写报告

我在项目中遇到过一家金融机构，他们要求评估必须可审计、可追溯。NIST的九步流程正好满足——每一步都有输入输出，审计师来了直接查文档，不用解释。

2. ISO 27001 风险评估：管理体系的发动机

ISO 27001不是单纯的风险评估方法，它是一个管理体系的骨架。风险评估在ISO 27001里，是驱动整个ISMS（信息安全管理体系）运转的核心。

你想想看，ISO 27001要求组织必须建立风险评估流程，但它不规定你用什么方法——这点常被人误解。

ISO 27001的风险评估有五个关键动作：

• 资产识别——所有信息资产都要登记入册
• 威胁与脆弱性识别——对照资产找问题
• 风险分析——定性或定量都行
• 风险评价——跟接受准则比，决定要不要处理
• 风险处置计划——选四种策略之一：降低、转移、规避、接受

我记得有一次帮一家制造企业做ISO 27001认证辅导。他们之前用Excel管资产，光资产清单就列了三千多条。我说：「你们先别急着做风险评估，先把资产分类分级搞清楚。」不然你评估个啥呢？

3. OCTAVE：自评估的鼻祖

OCTAVE（Operationally Critical Threat, Asset, and Vulnerability Evaluation），这名字够长吧？它是卡内基梅隆大学CERT中心搞出来的。

OCTAVE最大的特点是什么？自评估。它假设组织内部的人最了解自己的业务和风险，不需要外部专家来指手画脚。

OCTAVE分三级评估：

• 一级：建立资产驱动的威胁画像——识别关键资产、威胁场景
• 二级：识别基础设施脆弱性——技术层面的扫描和检查
• 三级：制定安全策略与计划——出整改方案

我以前用OCTAVE帮一家互联网公司做内部安全评估。他们团队只有十几个人，请不起外部顾问。OCTAVE的自评估模式刚好适合——我给他们做了三天培训，然后他们自己跑了两个月的评估流程。效果意料之外的好，因为自己人发现问题，执行整改的意愿特别强。

4. 三大框架核心对比

好了，三个框架都讲完了。你可能想问：到底怎么比？

看这张表，一目了然。

从表里能看出来，三个框架的定位完全不一样。NIST是「怎么评估」的手册，ISO是「怎么管风险」的体系，OCTAVE是「怎么自己干」的方法。

5. 如何选择：我的三条经验

框架选不对，后面全白费。我以前踩过这个坑——给一家初创公司硬上了NIST九步法，结果人家团队一共五个人，评估做了三个月，业务都等不及了。

后来我总结了三句话：

• 看合规需求——客户要ISO 27001认证？没得选，只能用ISO框架。客户是政府单位？NIST SP 800-30是默认选项。
• 看组织规模——大组织用NIST或ISO，流程明确好管控。小团队用OCTAVE，轻量灵活不折腾。
• 看安全成熟度——成熟度低的组织先用OCTAVE培养风险意识，成熟度高的组织再用NIST做精细化管控。

6. 几个实战避坑提醒

最后说几个我踩过的坑，你遇到了可以绕开走。

好了，这一章就聊到这儿。框架对比清楚了，后面我们就要深入每个框架的具体实操步骤了。你心里先有个谱——哪个框架适合你眼下的场景，这个比背步骤重要得多。