2. 搭建前的风险评估：组织资产盘点、威胁建模、风险承受能力评估

在正式搭建漏洞披露机制之前，必须对组织自身进行一次全面的“健康体检”。风险评估是确保漏洞披露机制有效、安全且可持续的基石。本阶段的核心任务包括：组织资产盘点、威胁建模以及风险承受能力评估。

▲ 图1：风险评估三要素闭环关系图

2.1 组织资产盘点

资产盘点是风险评估的第一步，旨在全面梳理组织拥有的所有数字资产。只有知道“有什么”，才能知道“保护什么”。

资产类别	具体示例	关键属性
硬件资产	服务器、工作站、网络设备、移动终端	物理位置、配置、固件版本
软件资产	操作系统、数据库、Web应用、API接口	版本号、依赖库、许可证
数据资产	用户信息、交易记录、源代码、密钥	敏感等级、存储位置、加密状态
人员资产	开发人员、运维人员、安全团队	权限级别、安全培训记录

资产盘点清单示例（JSON格式）：

{
  "asset_id": "WEB-001",
  "name": "主站电商平台",
  "type": "Web Application",
  "owner": "电商事业部",
  "criticality": "高",
  "ip_address": "10.0.1.100",
  "version": "v3.2.1",
  "exposed_ports": ["443", "80"],
  "data_classification": "PII & 支付数据"
}

▲ 图2：资产分类与价值气泡图（气泡大小代表相对价值）

2.2 威胁建模

威胁建模是系统性地识别潜在威胁的过程。常用的方法包括 STRIDE（欺骗、篡改、抵赖、信息泄露、拒绝服务、权限提升）和 攻击树分析。通过威胁建模，我们可以回答“谁可能攻击我们？”以及“如何攻击？”。

STRIDE 威胁分类表：

威胁类型	描述	常见场景
Spoofing	冒充他人身份	伪造API请求、会话劫持
Tampering	篡改数据或代码	SQL注入、修改配置文件
Repudiation	否认操作行为	缺少审计日志、日志被删除
Info Disclosure	信息泄露	错误信息暴露、源码泄露
DoS	拒绝服务	DDoS攻击、资源耗尽
Elevation of Privilege	权限提升	越权访问、提权漏洞

▲ 图3：攻击树模型示例（获取数据库权限）

2.3 风险承受能力评估

风险承受能力决定了组织对漏洞披露的“容忍度”。不同组织对风险的接受程度不同，这直接影响漏洞披露的范围、响应速度以及对外沟通策略。

风险承受能力评估矩阵：

风险等级	影响描述	承受能力	响应策略
低	无数据泄露，轻微性能影响	完全可接受	常规修复周期
中	部分非核心数据泄露，功能受限	可接受但需监控	72小时内修复
高	核心数据泄露，服务中断	不可接受	24小时内紧急修复
严重	大规模数据泄露，系统完全失控	零容忍	立即启动应急响应

风险承受能力评估清单（Checklist）：

✅ 是否已定义数据分类标准（公开、内部、机密、绝密）？
✅ 是否明确哪些系统不允许公开披露漏洞（如核心支付系统）？
✅ 是否具备应急响应团队（CSIRT）？响应时间要求是多少？
✅ 是否与法务部门确认过法律合规要求（如GDPR、网络安全法）？
✅ 是否对第三方组件（开源库、云服务）有风险承受边界？
✅ 是否制定了漏洞披露的“停止条件”（如发现0day且无法立即修复）？

▲ 图4：风险承受能力仪表盘（示例阈值）

2.4 综合评估输出

完成上述三个步骤后，应输出一份 风险评估报告，包含以下核心内容：

资产清单：所有关键资产的列表及其敏感等级。
威胁矩阵：针对每个资产识别出的威胁及其可能性/影响评分。
风险热力图：可视化展示高风险区域。
承受能力声明：明确哪些风险可以接受，哪些必须立即处理。
披露范围建议：基于风险评估结果，建议漏洞披露机制覆盖的范围（如仅限核心系统，或包含所有面向公网的资产）。

💡 专家提示： 风险评估不是一次性的工作。随着业务发展、新系统上线以及威胁环境变化，应定期（至少每季度）重新评估风险承受能力，并相应调整漏洞披露机制的策略与范围。

📚 课程目录

2. 搭建前的风险评估：组织资产盘点、威胁建模、风险承受能力评估

2.1 组织资产盘点

2.2 威胁建模

2.3 风险承受能力评估

2.4 综合评估输出