2025年网络安全风险识别与防范手册.docxVIP

2025年网络安全风险识别与防范手册

第1章网络安全风险识别基础

1.1网络安全风险定义与分类

网络安全风险是指因网络系统、设备、数据或信息的脆弱性、攻击者行为、管理缺陷等导致的潜在损害或损失。风险通常由威胁（Threat）、漏洞（Vulnerability）、影响（Impact）和可能性（Probability）四个要素构成，构成“威胁-漏洞-影响-可能性”四要素模型（NISTSP800-30）。根据风险来源和性质，网络安全风险可分为技术性风险、管理性风险、操作性风险和法律风险。例如，技术性风险包括数据泄露、系统入侵等；管理性风险涉及安全策略制定不完善、人员培训不足等；操作性