2. 风险评估基础框架

在信息安全风险评估的实战中，理解五个核心概念及其相互关系是构建有效防御体系的基石。这五个概念构成了风险管理的语言基础，帮助我们精准定位问题、量化影响并制定对策。下面我们将逐一解析，并通过图示与表格展示其内在逻辑。

2.1 核心定义

2.2 核心关系公式

在风险评估实战中，我们通常使用以下逻辑关系来量化风险：

<strong>风险 = 威胁 × 脆弱性 × 资产价值</strong>

<em>解释：</em>
- 没有威胁，脆弱性本身不产生风险。
- 没有脆弱性，威胁无法作用于资产。
- 资产价值决定了风险影响的严重程度。

<strong>残余风险 = 固有风险 - 控制措施降低的风险</strong>

<em>解释：</em>
- 固有风险：未实施任何控制时的原始风险。
- 控制措施：如防火墙、加密、备份等。
- 残余风险：管理层必须接受或进一步处理的风险。

2.3 实战中的关系链

在风险评估项目中，我们通常按照以下链条进行推理与记录：

1. 识别资产：列出所有关键信息资产（如客户PII、财务数据）。
2. 识别威胁：针对每项资产，列出可能的威胁源（如内部员工泄露、外部黑客）。
3. 识别脆弱性：检查资产是否存在可被利用的弱点（如未加密传输、访问控制缺失）。
4. 评估风险：结合威胁发生的可能性与脆弱性被利用后的影响，计算风险等级。
5. 实施控制：选择安全措施（如加密、DLP、培训）降低风险。
6. 确认残余风险：控制措施实施后，重新评估剩余风险，判断是否可接受。

2.4 关键要点总结

• 资产是核心：所有安全工作的最终目的是保护资产，尤其是信息资产。
• 威胁与脆弱性成对出现：没有脆弱性，威胁无法造成损害；没有威胁，脆弱性只是潜在弱点。
• 风险是动态的：随着新威胁出现、新脆弱性发现，风险等级会变化，需要持续评估。
• 残余风险必须被管理：安全控制无法消除所有风险，组织需明确接受、转移或规避残余风险。
• 沟通语言：这五个概念是安全团队与业务部门、管理层沟通的共同语言，确保理解一致。

实战提示：在制作资产清单时，建议为每项资产同时标注其关联的威胁与脆弱性，这样在后续风险评估中可以直接引用，提高效率。