GB-T 20984-2022 信息安全技术 信息安全风险评估方法 - 副本

GB/T20984-2022信息安全技术信息安全风险评估方法前言GB/T20984-2022《信息安全技术信息安全风险评估方法》是我国网络安全风险治理领域的核心基础性国家标准，由国家市场监督管理总局、国家标准化管理委员会于2022年4月15日发布，2022年11月1日正式实施。本标准替代GB/T20984-2007《信息安全技术信息安全风险评估规范》，全面适配《网络安全法》《数据安全法》《个人信息保护法》及网络安全等级保护2.0体系合规要求，同步迭代国际风险评估先进理念，重构风险评估框架与实施方法论。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口，聚焦数字化转型背景下各类网络资产的安全风险管控需求，解决了2007版标准方法单一、场景适配不足、量化体系缺失、生命周期覆盖不全等行业痛点。新版标准统一了信息安全风险评估的核心要素、分析原理、实施流程、技术方法，新增全生命周期评估、量化风险计算、新型场景适配等关键内容，适用于传统信息系统及云计算、大数据、物联网、工业控制系统、移动互联网等新型数字化场景，是政企单位常态化风险评估、合规整改、安全规划、应急风控的权威技术依据，也是第三方测评机构、监管部门开展风险核查的核心标准准则。1范围本标准规定了信息安全风险评估的基础概念、风险要素逻辑关系、风险分析核心原理、标准化实施流程、定性与定量评估方法，明确了信息系统全生命周期各阶段的风险评估实施要点、工作形式及文档管理规范。本标准适用于各级党政机关、企事业单位、关键信息基础设施运营者，自主开展常态化、周期性、专项性信息安全风险评估工作；适用于第三方安全服务机构承接风险评估、合规测评、安全规划咨询等服务；同时可作为网络安全监管部门开展风险监督检查、合规核查、风险研判的技术依据。本标准覆盖全域数字化网络资产，包含传统基础网络、信息系统、终端设备、数据资产，同时全面适配云计算平台、大数据系统、物联网、工业控制系统、移动业务平台等新型场景的风险评估工作。本标准通用常规商用信息系统风险评估，涉密信息系统可结合本标准及涉密安全管理规范配套实施专属风险评估。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有修改单）均适用于本文件。核心引用文件如下：GB/T25069《信息安全技术术语》（统一信息安全及风险评估核心术语定义）GB/T22239-2019《信息安全技术网络安全等级保护基本要求》（等保合规风险评估基准依据）GB/T28448-2019《信息安全技术网络安全等级保护测评要求》（风险测评合规核查依据）GB/T20985-2020《信息安全技术信息安全事件管理指南》（安全事件风险溯源与处置评估依据）GB/T20986-2020《信息安全技术信息安全事件分类分级指南》（风险事件定级评估依据）ISO/IEC27005:2018《信息技术安全技术信息安全风险管理》（国际风险管理标准转化依据）3术语和定义、缩略语3.1术语和定义本标准沿用GB/T25069核心术语，结合新版风险评估体系新增专属定义，核心关键术语如下：信息安全风险：指特定威胁利用资产存在的脆弱性，突破现有安全防护措施，对资产的保密性、完整性、可用性造成损害，进而对组织业务、资产、声誉、合规体系产生潜在损失或负面影响的可能性与后果的综合。风险评估：通过系统、全面的识别、分析、评价信息安全风险要素，量化风险发生概率与影响程度，确定风险等级、梳理风险清单，为风险处置、安全决策、合规整改提供依据的系统化工作过程。资产：对组织具有价值的、与信息安全相关的一切资源，包含硬件资产、软件资产、网络资源、数据资产、业务系统、人员资源、管理制度、品牌声誉等，是风险承载的核心主体。威胁：可能对信息资产、业务系统造成破坏、泄露、中断、篡改等损害的潜在起因，包含人为威胁、环境威胁、自然威胁三大类，是风险产生的外部诱因。脆弱性：资产自身存在的、可被威胁利用的缺陷或薄弱点，涵盖技术脆弱性与管理脆弱性，是风险产生的内部核心条件。安全措施：组织为规避、降低、转移、抵消安全风险，部署的技术防护手段、管理制度、运维流程、应急机制、人员管控等各类防护手段。风险处置：针对不同等级、不同类型的安全风险，采取规避、降低、转移、接受等差异化处置策略，落实整改加固、风险管控的闭环工作。3.2缩略语本标准核心缩略语统一规范如下：ISRA：信息安全风险评估（InformationSecurityRiskAssessment）CIA：保密性、完整性、可用性（Confidentiality、Integrity、Availability）RM：风险管理（RiskManagement）4风险评估框架及核心原理4.1风险要素逻辑关系本标准明确五大核心风险要素的联动逻辑，重构2007版简单要素模型，形成闭环风险传导体系：资产、威胁、脆弱性、安全措施、风险后果五大要素相互关联、相互作用。资产具备价值属性，是风险的承载主体；威胁是外部触发条件；脆弱性是内部固有短板；现有安全措施决定风险抵御能力；三者叠加最终产生对应等级的安全风险与损害后果。风险评估的核心本质即为梳理要素关联、测算叠加风险、评估剩余风险。核心风险传导逻辑：威胁利用资产脆弱性→突破现有安全防护→造成资产损害→产生安全风险。4.2风险分析核心原理新版标准确立“可能性+影响度”双维度风险测算原理，摒弃旧版单一主观判定模式。风险等级由安全事件发生的可能性与事件造成的影响程度共同决定，综合现有安全措施的防护抵消作用，计算剩余风险等级。其中，可能性由威胁发生频率、脆弱性可利用难度、安全措施有效性综合判定；影响度由资产价值、CIA三属性受损程度、业务影响、合规影响、声誉影响综合判定。4.3风险评估总体流程标准统一标准化闭环评估流程，贯穿全生命周期，分为五大核心阶段，同时将沟通协商、文档管理全程嵌入所有环节：评估准备→风险识别→风险分析→风险评价→风险处置与复盘迭代。各阶段层层递进、环环相扣，杜绝碎片化、形式化评估，保障评估结果真实、精准、可落地。5风险评估全流程实施规范5.1评估准备阶段评估准备是保障风险评估全面、精准、高效开展的基础环节，新版标准细化七大必备工作，杜绝旧版准备工作流于形式的问题，核心工作如下：明确评估目标与范围：结合单位业务需求、合规要求、安全态势，确定本次评估目标（常态化合规评估、专项漏洞评估、重大变更评估、事件复盘评估等）；精准划定评估对象、资产范围、业务边界、时间周期，避免漏评、错评、超范围评估。组建专项评估团队：组建由管理、运维、安全、业务多岗位人员组成的评估团队，明确负责人、技术人员、核查人员、文档人员岗位职责；开展前置培训，统一评估标准、判定口径与工作规范。前期调研摸底：全面梳理单位网络架构、资产台账、业务流程、安全制度、现有防护设备、历史安全事件、漏洞整改记录，掌握整体安全现状，为后续风险识别奠定基础。确定评估依据与准则：对接网络安全法律法规、等级保护要求、行业专项规范，制定适配本单位的风险判定准则、等级划分标准、处置阈值。制定专项评估方案：编制正式风险评估方案，明确评估流程、技术方法、工作分工、时间进度、输出成果、质量要求，方案需经单位最高安全负责人审批后方可实施。5.2风险识别阶段风险识别是评估核心基础环节，要求全覆盖、无死角识别所有风险要素，包含资产识别、威胁识别、现有安全措施识别、脆弱性识别四大模块，所有识别结果需形成标准化台账留存。资产识别与赋值：全面梳理软硬件资产、网络资产、数据资产、业务资产、管理资产，建立完整资产台账；从保密性、完整性、可用性三个维度对资产进行价值赋值，区分核心资产、重要资产、一般资产，明确资产重要性等级。重点强化数据资产识别，适配数据安全合规要求。威胁识别：全覆盖识别内外部威胁，包含人为恶意威胁（黑客攻击、越权操作、恶意泄密、APT攻击）、人为失误威胁（操作失误、配置错误、疏忽管理）、自然环境威胁（雷电、火灾、水灾、设备老化故障）、场景专属威胁（云租户越权、物联网节点劫持、工控协议攻击），统计威胁发生场景、频率、触发条件。现有安全措施识别：全面核查现有技术防护措施（边界防护、终端防护、数据加密、备份容灾、日志审计）、管理防护措施（制度规范、人员管理、运维流程、应急机制、培训演练），验证措施有效性、落地性、适配性，剔除形式化、失效防护措施。脆弱性识别：分为技术脆弱性与管理脆弱性两类。技术脆弱性包含系统漏洞、配置缺陷、密码弱口令、端口开放风险、加密失效、访问控制不严等；管理脆弱性包含制度缺失、流程不规范、人员权限混乱、培训不足、演练缺失、外包管控不严等。通过漏洞扫描、渗透测试、基线核查、文档核查、人员访谈完成全面识别。5.3风险分析阶段本阶段基于风险识别成果，开展系统化、精细化风险分析，测算风险发生可能性、影响程度，结合现有安全措施抵扣效果，计算剩余风险，是新版标准相较于2007版的核心升级点。可能性分析：综合判定威胁出现频率、脆弱性可利用难度、现有安全措施防护能力，将风险发生可能性划分为高、中、低三个等级，量化日常高发风险、偶发风险、极低概率风险。影响度分析：从资产损害、业务中断、数据泄露、合规违规、经济损失、舆情声誉六个维度，评估风险发生后的综合影响，划分严重、较大、一般、轻微四级影响等级。剩余风险计算：结合已有安全措施的防护抵消作用，对初始风险进行修正，剔除已有效管控的风险，精准计算当前真实存在的剩余风险，避免风险评估虚高、脱离实际。5.4风险评价阶段依据风险分析结果与预设评价准则，完成风险等级判定、风险排序、风险汇总，形成标准化风险清单。新版标准统一四级风险等级划分体系，适配行业通用风控标准：高风险（重大风险）：风险发生概率高、影响程度严重，直接威胁核心业务、关键数据安全，违反法律法规及等保强制要求，必须立即整改。中风险（较大风险）：风险发生概率中等、影响程度较大，影响局部业务运行、存在数据安全隐患，需限期专项整改。低风险（一般风险）：风险影响轻微、发生概率较低，无核心业务与数据风险，可常态化管控、持续优化。可接受风险：风险极低，在单位安全容忍范围内，无需专项整改，纳入常态化监控即可。同时按照风险等级从高到低完成优先级排序，明确重点风控对象，为后续风险处置、资源调配提供精准依据。5.5风险处置与持续改进阶段标准明确四大标准化风险处置策略，要求根据风险等级、业务特性、合规要求差异化选用，实现风险闭环管控：风险规避：针对高风险、无法有效管控的风险，通过终止相关业务、关停高危系统、删除高危配置、取消高危操作等方式，彻底消除风险源头。风险降低：最常用处置策略，通过漏洞修复、安全加固、制度完善、流程优化、权限收紧、新增防护设备等方式，降低风险发生概率与影响程度，将高风险降至可接受范围。风险转移：针对不可抗力、高成本管控风险，通过购买网络安全保险、外包专业安全运维、第三方托管等方式，转移风险损失与处置责任。风险接受：针对极低风险、处置成本远大于风险损失的可接受风险，经管理层审批后自愿承担风险，纳入常态化监控，定期复核。所有风险处置完成后需开展效果复核，验证整改有效性，同时将评估成果、处置经验融入常态化安全管理，实现风险动态迭代、持续改进。6信息系统全生命周期风险评估要点新版标准新增全生命周期评估规范，突破旧版仅侧重运行阶段评估的局限，覆盖规划、设计、建设、运行、变更、废弃全流程，实现风险全周期管控。规划阶段：结合业务规划、资产价值，明确安全防护目标与风控底线，识别规划阶段潜在架构风险、合规风险，将风险评估结果融入系统整体规划方案，从源头规避结构性安全风险。设计阶段：针对系统架构、安全方案、设备选型、数据流转设计开展风险评估，识别设计缺陷、防护缺失、架构漏洞，优化安全设计方案，保障设计阶段安全合规。建设阶段：在系统部署、设备调试、代码开发、工程实施过程中开展阶段性风险评估，及时发现建设过程中的配置错误、部署不规范、开发漏洞等问题，边建设边整改。运行阶段：开展常态化周期性风险评估，适配业务迭代、设备更新、漏洞迭代、威胁态势变化，是风险评估最核心、最常态化的应用场景，保障运行环境持续安全可控。变更阶段：系统架构、业务功能、网络配置、人员权限发生重大变更前，开展专项风险评估，预判变更带来的新增风险，规避变更引发的安全事件。废弃阶段：针对下线系统、废弃设备、过期数据开展风险评估，重点核查残留数据泄露、设备带病废弃、配置遗留等风险，规范数据销毁、设备处置流程。7风险评估方法体系本标准整合三类主流评估方法，支持组合使用，适配不同规模、不同场景的评估需求，兼顾实操性与精准性。7.1定性风险评估以经验判断、核查分析、访谈调研为核心，通过文字描述、等级划分的方式判定风险等级，操作简便、落地性强，适用于中小型单位、简易系统、常态化快速自查评估，是行业最常用的基础评估方法。7.2定量风险评估通过量化赋值、公式计算、数据统计的方式，精准测算风险发生概率、潜在经济损失、风险数值，评估结果客观精准，适用于关键信息基础设施、大型核心业务系统、高合规要求场景的专项深度评估。7.3综合风险评估结合定性与定量评估优势，兼顾经验判断的灵活性与数据测算的精准性，规避单一方法的局限性，是新版标准推荐的主流评估方式，适配绝大多数政企单位的常态化风险评估工作。8评估文档与报告管理规范标准明确全程文档留痕要求，规范评估全流程资料归档标准，保障评估工作可追溯、可核查、可复用。8.1过程文档管理评估全过程需留存完整过程资料，包含评估方案、调研台账、资产清单、威胁识别表、脆弱性核查表、安全措施统计表、风险分析记录表、整改处置台账等，所有资料真实完整、分类归档。8.2风险评估报告规范评估完成后需编制标准化风险评估报告，核心包含评估概况、评估范围、评估依据、资产现状、风险要素识别结果、风险等级汇总、重点风险分析、整改建议、处置方案、残余风险说明、持续改进计划等核心模块，报告需逻辑清晰、问题精准、措施落地、权责明确。9资料性附录本标准附带多项资料性附录，为实操落地提供标准化模板与依据，大幅降低评估落地难度：附录A全生命周期评估实施指南：细化各阶段评估场景、工作重点、实施流程，适配不同建设阶段系统的差异化评估需求。附录B资产识别与赋值规范：统一资产分类标准、CIA赋值维度、等级划分细则。附录C脆弱性核查清单：汇总技术与管理脆弱性通用核查项，覆盖等保合规核心要求。附录D威胁类型分类清单：标准化各类内外部威胁分类、场景、特征，统一威胁识别口径。附录E风险计算方法示例：通过实操案例演示风险可能性、影响度、剩余风险的完整计算流程。附录F风险处置方案模板：提供标准化风险整改、风险管控、闭环处置方案模板。102022版与2007版标准核心差异1.体系架构全面升级：摒弃2007版简单线性流程，构建“要素关联-原理支撑-全周期覆盖-闭环处置”的完整风险评估体系，