新版信息安全風(fēng)險(xiǎn)評(píng)估方法的主要內(nèi)容和意義

GB/T 20984-2022《信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估方法》（以下簡(jiǎn)稱新版標(biāo)準(zhǔn)）由國(guó)家市場(chǎng)監(jiān)督管理總局、國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)批準(zhǔn)發(fā)布（2022年第6號(hào)中國(guó)國(guó)家標(biāo)準(zhǔn)公告），于2022年11月1日起正式實(shí)施，該標(biāo)準(zhǔn)代替GB/T 20984-2007《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》（以下簡(jiǎn)稱舊版標(biāo)準(zhǔn)），是GB/T 20984自2007年發(fā)布以來的首次修改。

一、什么是信息安全風(fēng)險(xiǎn)評(píng)估？

信息安全風(fēng)險(xiǎn)評(píng)估是指對(duì)特定威脅利用單個(gè)或一組資產(chǎn)脆弱性的可能性以及由此可能給組織帶來的損害進(jìn)行識(shí)別、分析和評(píng)價(jià)的整個(gè)過程。

二、新版標(biāo)準(zhǔn)的主要內(nèi)容是什么？

新版標(biāo)準(zhǔn)描述了信息安全風(fēng)險(xiǎn)評(píng)估的基本概念、風(fēng)險(xiǎn)要素關(guān)系、風(fēng)險(xiǎn)分析原理、風(fēng)險(xiǎn)評(píng)估實(shí)施流程和評(píng)估方法，以及風(fēng)險(xiǎn)評(píng)估在信息系統(tǒng)生命周期不同階段的實(shí)施要點(diǎn)和工作形式。

在資產(chǎn)識(shí)別中，基于業(yè)務(wù)的范圍和邊界，分析對(duì)業(yè)務(wù)資產(chǎn)、系統(tǒng)資產(chǎn)、系統(tǒng)組件和單元資產(chǎn)進(jìn)行識(shí)別與分析賦值。業(yè)務(wù)成為風(fēng)險(xiǎn)評(píng)估的最高管控對(duì)象。

在威脅識(shí)別中，從威脅的來源、主體、動(dòng)機(jī)等角度出發(fā)，根據(jù)威脅的行為能力和頻率，結(jié)合威脅的不同時(shí)機(jī)進(jìn)行識(shí)別和分析。

在已有安全措施分析中，將安全措施進(jìn)行保護(hù)性和預(yù)防性的分類，結(jié)合威脅對(duì)已有安全措施的有效性進(jìn)行分析。

在脆弱性識(shí)別中，從管理和技術(shù)兩個(gè)角度出發(fā)，對(duì)脆弱性被威脅利用的難易程度以及脆弱性被利用后對(duì)資產(chǎn)造成的損失進(jìn)行分析。

在風(fēng)險(xiǎn)分析與評(píng)價(jià)中，依據(jù)風(fēng)險(xiǎn)計(jì)算模型對(duì)單個(gè)資產(chǎn)的風(fēng)險(xiǎn)進(jìn)行風(fēng)險(xiǎn)值的計(jì)算與等級(jí)劃分，并按照一定的規(guī)則，從資產(chǎn)的風(fēng)險(xiǎn)現(xiàn)狀推斷出業(yè)務(wù)的風(fēng)險(xiǎn)情況。

三、新版標(biāo)準(zhǔn)的發(fā)布有什么意義？

近年來，黨和國(guó)家高度重視網(wǎng)絡(luò)安全工作，《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、《中華人民共和國(guó)數(shù)據(jù)安全法》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等重要法律法規(guī)相繼頒布實(shí)施，同時(shí)，伴隨著信息技術(shù)深入到生活的各個(gè)方面，網(wǎng)絡(luò)安全工作已成為國(guó)家、社會(huì)、組織中不可缺少的一部分。

為應(yīng)對(duì)網(wǎng)絡(luò)安全形勢(shì)的變化，滿足法律法規(guī)的最新要求，解決舊版標(biāo)準(zhǔn)在個(gè)別場(chǎng)景下存在局限性的問題，新版標(biāo)準(zhǔn)應(yīng)聲而來。

新版標(biāo)準(zhǔn)為網(wǎng)絡(luò)安全保護(hù)工作部門、重要行業(yè)和領(lǐng)域的主管部門、信息系統(tǒng)運(yùn)營(yíng)單位、安全服務(wù)廠商等開展信息安全風(fēng)險(xiǎn)評(píng)估工作提供參考依據(jù)，為網(wǎng)絡(luò)安全建設(shè)工作提供技術(shù)指導(dǎo)和效果評(píng)價(jià)方法，能極大促進(jìn)網(wǎng)絡(luò)安全工作的實(shí)施。