GB-T 31722-2025 中文版 网络安全技术 信息安全风险管理指导（等同 ISO 27005-2022） - 副本

GB/T31722-2025中文版网络安全技术信息安全风险管理指导（等同ISO27005:2022）前置说明：标准定位与采标说明GB/T31722-2025《网络安全技术信息安全风险管理指导》为我国官方发布的国家级网络安全与信息安全专项风险管理标准，等同采用ISO/IEC27005:2022《信息安全、网络安全和隐私保护—信息安全风险管理指导》，全面替代旧版GB/T31722-2015，是GB/T22080-2025（ISO27001:2022）、GB/T22082-2025（ISO27003:2022）ISMS体系的核心底层支撑标准。本标准为指导性非强制性标准，核心作用是统一国内各行业信息安全风险的识别、分析、评价、处置、监视与复盘全流程方法论，解决政企风险管理“方法不统一、评级无依据、处置无标准、落地流于形式”的行业普遍痛点。区别于ISMS体系的合规框架要求，本标准聚焦风险全生命周期精细化管控，是所有信息安全管理活动的技术根基与决策依据。本文档严格遵循国标翻译规范与ISO27005:2022原版技术架构，结合《网络安全法》《数据安全法》《个人信息保护法》、关键信息基础设施保护、网络安全等级保护2.0等国内监管要求，融合全行业风控落地实战经验，形成兼具权威性、系统性、实操性的深度指导文档，可直接用于企业风控体系搭建、内审外审整改、安全团队培训、合规体系迭代。一、标准概述与核心价值1.1编制背景与迭代意义随着数字化转型深度推进，政企组织业务全面云化、数据集约化、供应链网络化，信息安全风险呈现复杂化、隐蔽化、传导化、常态化特征。传统风险管理模式存在明显短板：风险评估模板化、主观化，风险等级判定无统一标尺，重识别轻处置、重报告轻闭环，无法适配数据安全、隐私保护、供应链安全、云安全等新型风险场景，与新版ISMS2022体系的风险驱动理念严重脱节。GB/T31722-2025基于ISO/IEC27005:2022最新国际风控框架完成等同转化，彻底升级旧版2015版的风控逻辑，摒弃静态、粗放、形式化的风控模式，确立动态化、全生命周期、业务导向、数据赋能、闭环迭代的现代化风险管理体系，补齐了国内信息安全领域标准化风控方法论的空白，实现国内风控实践与国际主流标准完全接轨。1.2适用范围与应用场景本标准无行业、规模、组织性质限制，适用于所有开展信息安全风险管理的党政机关、企事业单位、社会组织，全面覆盖信息安全、网络安全、数据安全、隐私保护等风控场景，核心应用场景如下：ISMS体系配套风控：为GB/T22080-2025信息安全管理体系提供标准化风险评估与处置方法，是ISMS建设、审核、换证的必备技术依据；常态化风险管控：用于日常资产风险排查、专项安全风险评估、重大变更风险研判、年度整体风险复盘；合规专项风控：适配等保测评、关基保护、数据分类分级、个人信息合规、供应链安全审查等专项合规风控需求；重大活动与变更风控：支撑系统上线、架构升级、业务迭代、外包引入、跨境数据传输等重大场景的前置风险评估；安全事件复盘风控：针对安全攻击、数据泄露、业务中断等事件开展溯源风控分析，优化风险防控策略；团队风控能力建设：作为安全管理员、风控专员、内审员、第三方咨询审核人员的标准化作业指导依据。1.3标准体系配套关系本标准是ISO/IEC27000系列标准的风控核心方法论底座，与上下游标准形成完整闭环，配套逻辑清晰、层层联动：顶层约束：GB/T22080-2025（ISO27001:2022），强制要求组织建立风险评估与处置机制；落地指南：GB/T22082-2025（ISO27003:2022），指导风控体系融入ISMS全生命周期；方法支撑：本标准GB/T31722-2025（ISO27005:2022），提供全套风控流程、模型、判定规则；措施落地：GB/T22081-2022（ISO27002:2022），基于风险结果匹配对应的安全控制措施；效果验证：GB/T31497-2024（ISO27004），量化监测风险管理成效与风险管控绩效。1.4等同采用核心说明GB/T31722-2025采用等同采用（IDT）方式转化ISO/IEC27005:2022国际标准，技术内容100%一致，无删减、无修改、无新增核心技术条款。仅针对国内标准化规范、中文表述习惯、国内法律法规体系进行编辑性调整与本土化适配注释，不改变任何风控原则、流程、模型与判定逻辑。依据本标准开展的风控工作，完全满足国际认证、国内合规、行业审核的双重要求。二、新旧版本核心差异（2015版VS2025版）新版标准相较于2015旧版完成结构性升级，核心围绕新型风险适配、动态风控、隐私保护、供应链风控、量化闭环、轻量化落地六大维度优化，彻底解决旧版场景适配不足、流程僵化、无闭环机制的问题，核心差异如下：2.1拓展风险覆盖边界，新增专项风控场景旧版仅聚焦传统网络、系统、设备安全风险；新版全面新增数据安全、个人信息隐私保护、云服务、虚拟化、供应链第三方、远程办公、跨境数据流转等新型风险场景，完全适配《数安法》《个保法》等国内新规，填补数字化场景风控空白。2.2重构风险管理理念，强化动态闭环管控旧版以一次性静态风险评估为主，评估完成后无持续迭代机制；新版明确风险管理为全生命周期动态过程，要求随业务变更、资产迭代、威胁升级、法规更新持续更新风险台账，实现“事前评估、事中监控、事后复盘、持续优化”的动态闭环，杜绝静态风控、一评了之。2.3细化风险准则，弱化主观判定偏差旧版风险等级判定规则模糊，依赖人工经验，易出现主观偏差；新版标准化细化资产价值、威胁等级、脆弱性等级、风险影响的判定维度，明确量化与定性结合的评估方法，统一风险评级口径，大幅降低人为干预误差，让风控结果可追溯、可对比、可复核。2.4新增隐私与权益保护风控要求新版标准首次将个人信息权益、隐私泄露风险、数据合规风险纳入核心风控范畴，明确数据收集、存储、传输、使用、销毁全生命周期的风险识别要点，要求风控工作兼顾业务安全与合规合规，弥补旧版隐私风控缺失的短板。2.5强化供应链与第三方风险管控针对高频发生的供应链安全事件，新版新增第三方服务商、外包团队、合作机构、上游供应商的风险传导管控细则，明确外部风险识别、准入风控、持续监测、风险隔离、退出处置的完整流程，构建内外一体化风控体系。2.6适配轻量化落地，兼容不同规模组织新版摒弃旧版繁琐的风控流程，允许组织根据自身规模、业务复杂度、风险容忍度自定义风控粒度，中小微企业可轻量化落地，大型高风险单位可精细化管控，兼顾合规性与实用性，大幅降低落地门槛。三、核心术语与风控定义（标准规范版）GB/T31722-2025统一了信息安全风险管理的核心术语定义，所有风控活动必须遵循标准化释义，杜绝认知偏差，核心关键术语如下：信息安全风险：指威胁利用资产脆弱性，造成资产损害、业务中断、合规违规、声誉损失的可能性与影响程度的综合结果，是可能性与影响的双向维度评价；资产：对组织具有价值的所有信息、软硬件设备、业务系统、服务、人员、数据、品牌声誉、合规资质等资源，是风控的核心对象；威胁：可能对资产造成损害、破坏、泄露的潜在起因，包含人为恶意攻击、操作失误、设备故障、自然灾害、合规变更等；脆弱性：资产或管控体系中存在的可被威胁利用的薄弱环节，包含技术漏洞、配置缺陷、制度缺失、流程漏洞、人员能力不足等；风险准则：组织用于风险识别、评级、处置的统一判定标准，包含风险容忍度、评价维度、等级划分规则；风险处置：针对风险采取的规避、降低、转移、接受、终止等管控措施，是风控落地的核心动作；风险所有者：对风险承担管理责任、具备决策权限的部门或人员，为风险管控第一责任人。四、信息安全风险管理核心原则标准明确所有风险管理活动必须遵循七大核心原则，是风控体系搭建、流程落地、策略制定的底层准则，所有风控动作不得违背核心原则。4.1业务导向原则风险管理不以合规为唯一目标，核心服务于业务稳定运行与可持续发展。所有风险识别、评级、处置动作需贴合业务场景，优先保障核心业务连续性，平衡安全管控与业务效率，杜绝过度风控、无效风控。4.2全生命周期覆盖原则风控覆盖资产采购、上线、运行、变更、退役全生命周期，覆盖人员、技术、流程、制度、第三方全维度，覆盖事前、事中、事后全阶段，无管控盲区、无时间断点。4.3动态迭代原则风险并非静态固定值，组织需根据业务迭代、资产更新、威胁演变、法规升级、安全事件发生情况，持续更新风险评估结果，动态调整风控策略，确保风险管控始终适配最新场景。4.4分级管控原则依据资产重要性、风险等级高低差异化分配安全资源，对高危核心风险重点管控、高频监测、快速处置；对中低风险常规管控、定期巡检，实现资源精准投放、风险精准防控。4.5全员责任原则风险管理并非安全部门专属工作，贯穿管理层、业务部门、运维部门、一线员工、第三方人员。管理层承担决策与资源保障责任，各业务部门承担本领域风控主体责任，全员参与风险排查与防控。4.6证据可追溯原则所有风险识别、评级、处置、监测、复盘动作需留存完整真实记录，形成闭环证据链，可支撑内审、外审、监管核查、事故溯源，杜绝口头风控、纸面形式化风控。4.7合规兼容原则风险管理策略需全面兼容国家法律法规、行业监管规范、等保、关基、数据合规等专项要求，实现风控与合规深度融合，避免风控策略与合规要求冲突、重复建设。五、标准化风险管理全流程（核心框架）GB/T31722-2025严格定义风险策划、风险评估、风险处置、风险监视评审、风险沟通复盘五大核心流程，形成完整闭环风控体系，为组织提供可直接复用的标准化风控SOP。5.1风险策划：顶层规则搭建风险策划是风控工作的前置基础，核心目的是统一风控规则、明确管控边界，避免风控工作无序开展，核心工作内容如下：确定风控范围与边界：明确风险管理覆盖的组织范围、业务范围、资产范围、场景范围，界定豁免范围及合规理由，与ISMS体系范围保持一致；制定风险准则：明确资产价值评价维度、威胁判定标准、脆弱性评分规则、风险可能性与影响评级标准、风险等级划分阈值、组织风险容忍度；明确岗位职责：界定风险所有者、风控执行人员、审核人员、监督人员的权责，建立风控考核机制；制定风控计划：明确年度风控频次、专项风控场景、工作时限、资源保障、输出物要求。核心输出物：风险管理办法、风险评价准则、年度风险管理计划、风控岗位职责清单。5.2风险评估：识别、分析、评价风险评估是风控核心环节，分为资产梳理、风险识别、风险分析、风险评价四个步骤，是所有风险处置工作的依据。5.2.1资产全面梳理与赋值全面梳理组织全部信息资产，分类为硬件资产、软件资产、数据资产、业务资产、服务资产、人员资产，建立完整资产台账。从保密性、完整性、可用性、合规性四个维度对资产赋值，判定资产重要等级（核心资产、重要资产、一般资产），重点聚焦业务核心数据、关键业务系统、涉密信息等高价值资产。5.2.2风险全方位识别结合业务场景与资产属性，双向识别威胁与脆弱性，覆盖全场景风险：技术层面包含漏洞、配置不当、权限滥用、病毒攻击、数据泄露等；管理层面包含制度缺失、流程不规范、培训不足、应急缺失等；合规层面包含数据违规收集、隐私保护不到位、监管要求未落实等；第三方层面包含供应商安全漏洞、外包操作风险、供应链传导风险等。5.2.3风险科学分析结合风险发生可能性、风险造成影响程度两大核心维度，对已识别风险进行综合分析。可能性参考历史安全事件、行业威胁态势、现有管控力度判定；影响程度参考业务中断损失、资产损坏、合规处罚、声誉损失、经济损失综合判定，精准定位风险根源。5.2.4风险等级评价依据预设风险准则，将所有风险划分为高危、中危、低危三个等级。高危风险为超出组织容忍度、可直接造成重大损失或合规事故的风险；中危风险为存在安全隐患、需限期整改的风险；低危风险为常规可控、常态化监控的风险。核心输出物：资产台账、风险识别清单、风险分析表、风险等级评价报告、风险汇总台账。5.3风险处置：分级闭环落地新版标准明确五种标准化风险处置方式，组织需根据风险等级、业务场景、资源能力选择适配处置策略，杜绝一刀切管控，所有处置必须100%闭环。风险规避：针对无法有效管控、风险极高的场景，直接终止相关业务、停用高危系统、取消高危操作，从源头消除风险；风险降低：最常用处置方式，通过优化技术防护、完善管理制度、规范操作流程、强化人员培训、修补漏洞隐患等方式，降低风险发生概率与影响程度，将风险控制在容忍范围内；风险转移：针对不可抗力或高成本风险，通过购买网络安全保险、外包专业安全服务、签订第三方安全责任协议等方式转移风险损失；风险接受：针对低危风险或整改成本远大于风险损失的场景，经管理层审批后自愿接受风险，需建立常态化监控机制，留存审批记录；风险终止：针对已失效、无威胁、场景消失的风险，完成风险注销，更新风险台账。核心输出物：风险处置计划、整改实施方案、闭环验证报告、风险处置审批记录、更新后风险台账。5.4风险监视与动态评审新版标准重点强化动态监视机制，要求风险管理常态化、可持续，杜绝一评了之。组织需常态化开展风险监测，跟踪风险管控状态、隐患整改进度、新型威胁动态；定期开展风险评审，常规企业年度全覆盖评审，高风险行业每半年评审一次，业务重大变更、重大安全事件发生后需开展专项临时评审，及时更新风险策略与管控措施。核心输出物：风险月度监测台账、季度风险分析报告、年度风险评审报告、专项风险复盘报告。5.5风险沟通与知识沉淀建立跨部门风险沟通机制，定期同步风险态势、整改进度、新型风险隐患，确保管理层、业务部门、安全团队信息互通。同时沉淀风控经验，将高频风险、典型隐患、优秀处置方案固化为标准化流程，实现风控能力持续迭代。六、重点场景精细化风控实操指南6.1数据与个人信息风控实操贴合新版标准与国内数安、个保合规要求，数据风控需覆盖全生命周期：完成数据分类分级，精准识别敏感数据、个人信息、核心业务数据风险；重点管控数据违规收集、超范围存储、未加密传输、越权访问、违规共享、非法销毁等风险；针对个人信息重点识别知情同意缺失、权益响应不到位、自动化决策风险、跨境传输合规风险，落实最小权限、脱敏加密、日志审计等管控措施。6.2云平台与虚拟化风控实操针对云化场景新增风控要求，重点识别云租户隔离失效、云资源配置漏洞、虚拟环境权限滥用、云日志缺失、第三方云服务商风控不足等风险；落实云资源基线核查、权限分级管控、流量监测、日志留存、服务商安全审计等措施，杜绝云环境虚拟化安全盲区。6.3供应链与第三方风控实操建立第三方全周期风控体系：准入阶段开展供应商安全资质审查、风险评估、安全协议签署；合作阶段常态化开展安全巡检、漏洞复测、履约核查；退出阶段开展数据清理、权限注销、风险交接。重点防范第三方带入漏洞、数据泄露、供应链劫持、外包操作违规等传导风险。6.4远程办公与移动终端风控实操针对常态化远程办公场景，识别外网接入风险、终端失控、账号泄露、数据外传、非法设备接入等风险；落实VPN安全接入、终端安全管控、设备准入认证、操作日志审计、离线数据管控、人员安全培训等措施，补齐远程办公风控短板。6.5重大变更专项风控实操系统上线、架构升级、制度调整、业务迭代、人员大规模变动前，必须开展专项前置风险评估，预判变更带来的新型风险，提前制定防控预案；变更完成后开展风险复测，确保无新增高危隐患，实现变更全流程风险可控。七、行业高频风控误区与规避方案结合多年审核与落地经验，总结各行业风险管理高频问题，匹配标准要求给出合规规避方案，解决形式化风控痛点：误区一：风险评估模板化，与业务脱节。规避方案：杜绝通用模板套用，所有风险点结合自身业务、资产、场景定制梳理，删除无关风险，补充行业专属新型风险，确保评估结果真实适配业务；误区二：重识别处置，轻动态监测迭代。规避方案：建立月度监测、季度复盘、年度全量评估机制，业务变更、事件发生、法规更新后及时迭代风险台账，杜绝静态风控；误区三：风险等级判定主观随意，无统一依据。规避方案：严格落地标准化风险评价准则，所有评级有据可依，留存评分记录与判定依据，杜绝人为随意调整风险等级；误区四：低风险放任不管，无监控机制。规避方案：高危风险重点整改、中危风险限期闭环、低危风险常态化监控，建立分层管控机制，避免低风险累积演变为重大事故；误区五：风控与ISMS、等保体系割裂。规避方案：将风险评估结果作为制度修订、控制措施落地、等保整改的核心依据，实现多体系风控数据互通、成果复用，避免重复建设。八、分行业落地适配方案8.1金融、政务、关基等高监管行业执行精细化、高频次风控模式，实现资产全覆盖、风险无死角评估，每半年开展一次全量风险评估，重大变更即时专项评估；重点强化数据安全、涉密信息、交易安全、访问权限、供应链安全风控，高危风险零容忍，全部限期闭环整改，留存完整风控证据链，全面适配严格监管要求。8.2互联网、科技、数据密集型企业聚焦数据全生命周期风控与用户隐私保护，重点识别数据泄露、违规共享、隐私侵权、接口安全、云平台风险；适配业务快速迭代特点，采用动态轻量化评估模式，月度重点风险巡检、年度全量复盘，快速迭代风控策略，兼顾安全与业务效率。8.3制造、贸易、中小微轻量化企业简化风控流程，聚焦核心资产、办公网络、终端安全、人员操作等基础风险，无需过度精细化管控；建立年度全量评估+日常隐患自查机制，优先整改高危风险，以最低运维成本满足ISMS认证、基础合规与安全防控需求。九、审核合规与换证核心要点9.1ISMS初次认证风控要求需完成全覆盖、真实有效的风险评估，风险等级划分清晰、处置策略合理、闭环完整；风险台账与业务资产匹配，无遗漏核心风险；具备完整的风控计划、评估报告、整改记录、审批记录，可支撑初次认证审核，杜绝模板化、虚构化风控资料。9.2年度监督审核风控要求重点核查风险动态迭代情况、历史问题整改延续性、新增业务风险管控、第三方风控落地、数据安全风控成效；杜绝风险台账常年不变、整改反弹、新增资产无风控、新型风险无识别等问题。9.3新版体系升级风控要点对照2025新版标准补齐数据隐私、供应链、云场景、远程办公等新增风控模块；更新风险评价准则与评估模型；完成存量风险重新评级与策略优化；完善动态监测、复盘迭代机制，适配新版ISMS体系风控要求。十、结论GB/T31722-2025（等同ISO27005