信息安全风险评估与治理手册（执行版）.docxVIP

信息安全风险评估与治理手册（执行版）

第1章信息安全风险评估基础

1.1信息安全风险评估的概念与目的

信息安全风险评估是指对信息系统中存在的信息安全风险进行系统性识别、分析和评估的过程，旨在识别潜在威胁、评估其影响程度，并为制定应对策略提供依据。其核心目的是通过量化和定性方法，帮助组织识别、评估和优先处理信息安全风险，从而实现信息资产的安全保护与业务目标的平衡。

信息安全风险评估是信息安全管理体系（ISO27001）的重要组成部分，也是企业构建信息安全管理能力的基础。依据《信息安全部门工作规范》（GB/T22239-2019），风险评估应遵循“识别、分析、评估、应对”四步法