3. 网络安全风险评估方法
网络安全应急预案不是凭空写出来的，它必须建立在“哪些东西值得保护、可能被谁怎么打、哪里最容易被打开缺口、一旦出事后果有多严重”这四个问题的答案之上。风险评估就是把这四个问题量化、结构化，最终输出一份可排序的风险清单，让预案编制者知道资源应该优先投向哪里。本节围绕资产识别、威胁分析、脆弱性评估、影响与可能性分析四个环节展开，并说明如何用定性或定量方法把结果收敛为风险等级。
一、资产识别：先确定保护对象与价值
资产识别是风险评估的起点。资产不只是服务器和网络设备，还包括数据、软件、服务、人员、场地以及组织声誉。实践中通常按“业务—系统—组件”三层拆解：先列出核心业务（如在线支付、订单处理、办公协同），再对应支撑系统（如支付网关、数据库集群、OA），最后落到具体组件（主机、中间件、接口、账号）。
识别完成后要给资产赋值。常用做法是从机密性（C）、完整性（I）、可用性（A）三个维度分别打分，再合成资产价值。例如采用1～5分制：5表示业务中断不可接受，1表示影响可忽略。某电商企业示例中，订单数据库的C/I/A分别为5/5/5，资产价值为5；内部测试环境的C/I/A为2/3/2，资产价值为2。资产价值决定了后续风险计算的权重，避免把测试机和核心库同等对待。
二、威胁分析：识别谁、通过什么路径、想达到什么目的
威胁是可能对资产造成损害的潜在来源。分析时建议按来源分类：外部攻击者（黑客、勒索团伙、竞争对手）、内部人员（恶意员工、误操作员工、外包人员）、环境与灾害（断电、火灾、水浸）、技术故障（硬件损坏、软件缺陷）。每一类威胁都要落到具体资产上，并描述可能的攻击路径。
威胁分析的关键输出是“威胁—资产”对应关系及其发生频率。频率可以用历史统计（如过去12个月发生次数）或行业经验值估计。例如某企业日志显示，针对公网Web应用的扫描与暴力破解尝试平均每月约40次，而内部人员误删配置平均每季度1次。频率越高，威胁的活跃度越高，在风险计算中权重越大。
三、脆弱性评估：找到可被利用的薄弱点
脆弱性是资产自身存在的、可能被威胁利用的缺陷。它既包括技术漏洞（未打补丁的中间件、弱口令、开放的高危端口），也包括管理缺陷（无变更审批、权限过大、备份未验证）和物理缺陷（机房无门禁）。脆弱性评估常用手段有：漏洞扫描、配置核查、渗透测试、访谈与文档审查。
评估结果通常用脆弱性严重程度表示。例如将漏洞按CVSS评分映射为1～5级：CVSS 9.0以上为5级，7.0～8.9为4级，4.0～6.9为3级，以下为1～2级。同时要记录该脆弱性是否已有缓解措施。若某Web服务器存在远程代码执行漏洞（5级）且直接暴露在公网，则其被利用的可能性显著升高。
四、影响与可能性分析：把风险算出来
影响分析回答“一旦威胁利用脆弱性成功，会造成多大损失”。损失可以从业务中断时长、数据泄露量、直接经济损失、合规处罚、声誉影响等维度衡量。可能性分析则综合威胁频率与脆弱性被利用的难易程度。两者结合即可得到风险值。
定性方法常用“高/中/低”矩阵：将可能性和影响各分三级，形成3×3风险矩阵。定量方法则用公式计算，例如：
风险值 R = 资产价值 A × 威胁频率 T × 脆弱性严重程度 V × 影响系数 I
示例（假设值）：
订单数据库：A=5，T=4（高频扫描），V=5（高危漏洞），I=5（业务中断不可接受）
R = 5 × 4 × 5 × 5 = 500
内部测试机：A=2，T=2，V=3，I=2
R = 2 × 2 × 3 × 2 = 24
得到风险值后，按组织设定的阈值划分等级。例如R≥300为高风险，150～299为中风险，<150为低风险。高风险项必须优先纳入应急预案的响应场景，中风险项纳入监控与演练计划，低风险项定期复查即可。
五、定性还是定量：如何选择
定性方法适合快速摸底、资源有限或数据不足的场景。它用“高/中/低”描述可能性和影响，通过矩阵直接得出风险等级，优点是易操作、沟通成本低，缺点是粒度粗、不同人判断可能不一致。定量方法适合对精度要求高、需要横向比较多个系统的场景，它要求有资产价值、威胁频率、脆弱性评分等可量化输入，计算过程可追溯，但数据获取成本较高。
实际工作中常见的是半定量做法：用1～5分制给各因子打分，再按公式计算，既保留排序能力，又比纯定性更客观。无论采用哪种方法，都要在评估报告中记录假设条件、数据来源和评分依据，否则风险等级无法复核，也无法作为预案编制的可靠依据。
六、从风险清单到预案编制依据
评估的最终产出是一份按风险值降序排列的清单，每条记录至少包含：资产名称、威胁描述、脆弱性描述、影响说明、可能性判断、风险值、风险等级、建议措施。预案编制时，高风险项直接对应应急响应场景和处置流程；中风险项对应监测告警和演练科目；低风险项纳入日常运维检查。这样，预案就不再是通用模板，而是有明确优先级和资源指向的行动方案。
例如，某企业评估后发现“订单数据库存在未修复的高危漏洞且暴露于公网”风险值为500，属于高风险，预案中就必须包含该场景的应急流程：发现告警后15分钟内确认、30分钟内隔离受影响接口、2小时内完成漏洞修复或临时封堵、4小时内恢复业务并验证数据完整性。而“测试机弱口令”风险值为24，只需在运维规范中要求定期改密即可，不必占用应急响应资源。
需要强调的是，风险评估不是一次性的文档工作，而是预案建设的输入和依据。只有把资产、威胁、脆弱性、影响与可能性四个环节做扎实，并用一致的方法论计算风险等级，预案才能做到“该防的防住、该急的急起来、该省的不浪费”。