GB／T 20984-2025 中文版 信息安全风险评估方法.docxVIP

GB/T20984-2025中文版信息安全风险评估方法

风险评估最容易陷入的困境，是算出一堆精确到小数点的数字，却没人能说清这些数字意味着什么。风险值7.3和6.8的差别，往往不如一句“这个系统一旦被拖库，二十万用户的实名信息会外泄”来得有说服力。方法的价值不在于计算精度，而在于让讨论有结构、让结论可比较、让处置有优先级。

风险评估方法标准通常围绕资产、威胁、脆弱性、安全措施与风险五个要素展开，给出识别、分析、评价的流程与计算模型。本文按要素关系、评估流程、识别方法、计算模型、结果表达展开，并补充实践中最容易走偏的环节。

一、五个要素及其关系

风险的本质是“威胁利用脆弱性，作用在资产上，造成业务影响”。理解这条链路，才能理解每个要素在评估中的位置。

（一）资产

资产是风险的承受者，包括信息、系统、服务、人员、设施。资产识别的难点是边界：一个数据库算一个资产，还是按库中的数据集拆分？取决于评估目的与数据敏感度差异。

（二）威胁

威胁是可能造成损害的潜在原因，包括外部攻击、内部人员、恶意代码、自然灾害、供应链故障。威胁识别要结合行业特点与历史事件，而不是照抄通用清单。

（三）脆弱性

脆弱性是资产自身或防护措施中的弱点，包括技术漏洞、配置缺陷、管理缺失、流程漏洞。脆弱性不等于风险，只有被威胁利用时才转化为风险。

（四）安全措施

已有措施会降低威胁可能性或影响程度。评估时要判