4. 信息安全风险评估基础
信息安全风险评估是信息安全管理体系（ISMS）建设的核心环节。它帮助我们回答一个关键问题：“我们的信息资产到底面临多大的风险？” 只有通过科学的风险评估，我们才能知道该把有限的资源投入到哪里，从而做出最有效的安全决策。
4.1 风险的定义
在信息安全领域，风险是指特定威胁利用资产的脆弱性，对资产造成损害的可能性与影响程度的组合。简单来说：
风险不是凭空产生的，它必须同时具备三个要素：资产（有价值的东西）、威胁（可能造成损害的事件）、脆弱性（资产本身的弱点）。缺少任何一个，风险都不成立。
4.2 资产 (Asset)
资产是指对组织具有价值的信息或资源。在风险评估中，我们首先要识别并分类所有重要资产。资产不仅包括数据，还包括硬件、软件、人员、服务等。
📋 常见资产分类表
| 资产类别 | 示例 | 价值评估维度 |
|---|---|---|
| 📄 数据资产 | 客户数据库、财务报表、源代码 | 机密性、完整性、可用性 |
| 💻 硬件资产 | 服务器、交换机、笔记本电脑 | 采购成本、替换成本、业务依赖度 |
| 🧑💼 人员资产 | 管理员、开发人员、安全团队 | 技能稀缺性、岗位关键性 |
| 🔧 服务资产 | 邮件服务、云存储、DNS解析 | SLA要求、中断影响范围 |
💡 小贴士：
资产识别要“全面覆盖，不遗漏”。建议从业务流程出发，逐层梳理每个环节涉及的信息资产。
4.3 威胁 (Threat)
威胁是指可能对资产造成损害的潜在原因或事件。威胁可能来自内部或外部，可能是人为的，也可能是自然的。
🔍 常见威胁来源
- 人为威胁：黑客攻击、内部人员泄密、操作失误、社会工程学
- 技术威胁：系统漏洞、恶意软件、网络中断、硬件故障
- 环境威胁：火灾、水灾、地震、电力故障
- 管理威胁：安全策略缺失、培训不足、流程不规范
⚠️ 注意：
威胁是客观存在的，我们无法消除所有威胁，但可以通过控制脆弱性来降低风险。
4.4 脆弱性 (Vulnerability)
脆弱性是资产本身存在的弱点或缺陷，这些弱点可能被威胁利用，从而对资产造成损害。脆弱性存在于技术、管理、物理等多个层面。
🔎 脆弱性分类
🖥️ 技术脆弱性
未打补丁的系统、弱密码、未加密的通信、配置错误
📋 管理脆弱性
安全策略缺失、权限管理混乱、缺乏审计机制
🏢 物理脆弱性
门禁不严、监控盲区、机房温控失效
🔑 关键认知：
脆弱性本身并不造成伤害，但一旦被威胁利用，就会产生风险。消除或降低脆弱性是风险控制的主要手段。
4.5 风险计算公式
在信息安全风险评估中，我们使用标准化的公式来量化风险。最常用的公式如下：
R = T × V × A
其中：R = 风险值 (Risk) | T = 威胁等级 (Threat) | V = 脆弱性等级 (Vulnerability) | A = 资产价值 (Asset)
📊 风险等级判定矩阵
| 风险等级 | 风险值范围 | 处置策略 | 响应优先级 |
|---|---|---|---|
| 🔴 高 | 15 ~ 27 | 立即处置 / 规避 | P0 最高 |
| 🟡 中 | 8 ~ 14 | 制定改进计划 | P1 高 |
| 🟢 低 | 1 ~ 7 | 接受 / 监控 | P2 常规 |
🧮 计算示例：
资产：客户数据库（价值 A = 5，最高5分）
威胁：黑客入侵（威胁 T = 4）
脆弱性：未修复的SQL注入漏洞（脆弱性 V = 4）
风险值 R = T × V × A = 4 × 4 × 5 = 80
判定：风险值 80 > 27，属于【高风险】，需要立即处置！