1. 风险评估概述：什么是风险、信息安全三要素（CIA）、风险管理框架简介

大家好，欢迎来到这门实战课。我是你们这趟旅程的向导，一个在安全这行摸爬滚打多年的老工程师。

咱们开门见山。今天聊的是整个课程的基石——风险评估。你可能会问，为什么第一课不讲高大上的渗透测试，不讲零信任架构，偏偏要从这个听起来有点“虚”的概念开始？

我个人的习惯是，做任何事之前，先搞清楚“敌人”是谁，我们的“家底”是什么。风险评估，说白了就是干这个的。它帮你回答三个核心问题：什么东西值得保护？谁想搞破坏？我们有多脆弱？

1.1 到底什么是“风险”？

先把这个最基础的概念掰扯清楚。很多人一听到“风险”就头大，觉得太抽象。其实没那么复杂。

风险 = 威胁 × 脆弱性 × 资产价值

这个公式你肯定见过。但怎么理解它？我举个例子。

你有一辆很贵的自行车（资产），价值两万块。你把它锁在楼下（脆弱性：锁其实很一般，小偷用液压钳30秒就能剪断）。小区里最近来了几个游手好闲的人（威胁：潜在的小偷）。那么，你的自行车被偷的风险就很高。

反过来，如果自行车放在你家的客厅里（脆弱性极低），或者你住在治安极好的军区大院（威胁极低），那风险就小得多。

所以，风险不是一个静态的数字。它是动态的，是这三个因素相互作用的结果。我在做安全评估时，最怕听到有人说：“我们系统风险很高，赶紧买防火墙。” 你问他风险高在哪？威胁是什么？脆弱性是什么？他答不上来。这就是典型的“拍脑袋”决策。

1.2 信息安全三要素：CIA

聊完风险，咱们得聊聊安全的“初心”。不管技术怎么变，安全要守护的核心目标就三个：机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。简称 CIA。

这三个词，你背都背得出来。但真正在项目里怎么用？我拆开来说。

要素	大白话解释	我踩过的坑
机密性 (C)	不该看的人，绝对看不到。比如你的银行卡密码。	我曾经见过一个项目，把客户身份证照片直接明文存数据库，连个访问控制都没有。开发说“内网没事”。结果内网一台测试机被攻破，几万条数据全裸奔了。这就是典型的机密性缺失。
完整性 (I)	数据在传输和存储过程中，没被篡改。比如你转账100块，对方收到的是100块，不是1块或100万。	有一次做审计，发现核心业务系统的日志被人删了。没有日志，出了事根本没法溯源。完整性不仅指数据内容，还包括操作行为的不可否认性。
可用性 (A)	该用的时候，系统能用。比如双十一晚上，淘宝不能宕机。	很多公司只关注防黑客，忽略了内部误操作。我记得有个客户，运维人员一条命令敲错，把整个生产库给删了。备份也过期了。系统停了整整两天。这就是可用性的灾难。

你想想看，任何一个安全事件，你都能用CIA去套。勒索病毒？它既破坏了数据的机密性（加密让你看不了），也破坏了可用性（系统用不了）。数据篡改？破坏了完整性。

在实际工作中，我建议你拿到一个系统，先别急着做渗透。先问自己三个问题：

• 这个系统里，机密性要求最高的是哪个模块？（通常是用户密码、支付信息）
• 如果数据被篡改，完整性被破坏，后果是什么？（比如财务报表、药品配方）
• 系统能容忍多久的可用性中断？（核心交易系统可能是秒级，内部OA可能是小时级）

这三个问题的答案，直接决定了你的安全策略和预算分配。

1.3 风险管理框架简介

好，现在我们知道要保护什么（资产），要防什么（威胁），以及目标是什么（CIA）。但怎么系统性地去做这件事？这就需要一套风险管理框架。

框架不是束缚，它是地图。告诉你现在在哪，下一步该往哪走。国际上最常用的框架是 NIST 风险管理框架 (RMF)，国内也有等保2.0的定级备案流程。但万变不离其宗，核心步骤就这几步：

1. 定级 (Categorize): 根据业务影响，给系统定个安全等级。比如，影响国家安全的系统，等级最高。
2. 选控 (Select): 根据等级，选择一套基础的安全控制措施。比如，等级高的系统必须上双因素认证。
3. 实施 (Implement): 把选好的控制措施部署下去。比如，配置防火墙规则，安装杀毒软件。
4. 评估 (Assess): 检查措施是否有效。比如，做渗透测试，看防火墙是不是真的挡住了攻击。
5. 授权 (Authorize): 管理层签字，确认风险可接受，系统可以上线。
6. 监控 (Monitor): 持续盯着系统，看有没有新漏洞、新威胁。环境变了，风险也会变。

这个流程不是一次性的。它是一个闭环。你上线后发现了新漏洞，就得重新评估，重新选控，重新实施。

下面这张图，是我自己画的一个简化版风险管理流程，你可以把它当成整个课程的“导航图”。

你看，这个流程从识别资产开始，到风险接受结束，但最后又通过监控反馈回第一步。这就是为什么叫“框架”，它给你一个结构化的思考方式，而不是让你东一榔头西一棒子。