信息安全风险评估规范（2026版）.docxVIP

信息安全风险评估规范（2026版）

第一章总则

一、适用范围

1.本规范适用于所有党政机关、企事业单位、社会团体及其他非营利性组织的全类型信息资产风险评估工作，覆盖网络安全等级保护1级及以上信息系统、关键信息基础设施、云服务平台、物联网终端集群、工业控制系统、大数据处理平台等全部信息化资产范畴。

2.关键信息基础设施运营者必须严格按照本规范要求每12个月开展一次全面风险评估，网络安全等级保护2级系统所属单位每24个月至少开展一次全面评估，网络安全等级保护1级系统所属单位每36个月至少开展一次全面评估，发生重大数据泄露事件、网络攻击事件后72小时内必须启动专项应急风险评估。

3.本规范制定依据为《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》，以及GB/T20984-2022信息安全技术信息安全风险评估规范、GB/T22239-2019信息安全技术网络安全等级保护基本要求、GB/T41479-2022信息安全技术重要数据识别指南等现行国家法规标准。

二、评估目标

1.全面排查所有信息资产存在的安全隐患，精准识别潜在威胁源，量化计算不同资产对应的安全风险等级，为后续安全防护体系优化提供可落地的数据支撑。

2.确保所有风险评估过程符合国家网络安全相关法规要求，规避合规性风险，保障核心业务连续稳