ISO 27001-2022 信息安全风险评估方法论与落地实操手册 - 副本

ISO27001:2022信息安全风险评估方法论与落地实操手册前言信息安全风险评估是ISO27001:2022信息安全管理体系（ISMS）的核心底层逻辑与策划根基，是6.1风险与机遇控制、6.2安全目标策划、附录A控制选用、适用性声明（SoA）编制的唯一前置依据。新版ISO27001:2022标准彻底摒弃了传统形式化评估要求，强调风险评估的动态性、真实性、业务贴合性、闭环有效性。在历年认证审核、监督审核、换证复审中，风险评估相关问题常年位居不符合项榜首，典型问题集中于：资产识别不全、评估方法不规范、评分口径主观、威胁脆弱性识别缺失、风险处置流于形式、无动态更新机制、SoA与风险结果脱节、无剩余风险管控。多数企业的风险评估仅为应付审核的纸面资料，无法真实反映企业安全现状，导致体系运行与实际风控完全脱节。本手册严格依据ISO27001:2022、ISO27005风险管理指南、GB/T20984-2022风险评估国家标准编制，沉淀多年企业体系落地、第三方审核、问题整改实战经验，系统化拆解风险评估标准化方法论、全流程实操步骤、量化评分规则、风险处置策略、动态迭代机制、审核避坑要点，配套可直接复用的落地模板与证据清单，兼具理论专业性、实操落地性、审核合规性，可作为企业风险评估标准化作业指导书、内审核查手册、迎审核心工具书全员落地使用。1总则与合规依据1.1编制目的统一企业信息安全风险评估的方法、流程、评分标准与处置规范，建立常态化、动态化、闭环化、可审计的风险管理体系，精准识别企业信息资产、安全威胁、脆弱性及合规风险，科学制定风险处置与管控措施，为安全目标设定、控制措施选用、制度优化、资源配置、持续改进提供量化依据，全面满足ISO27001:2022标准合规要求，从根源规避体系审核不符合项。1.2适用范围本手册适用于企业全域信息安全风险评估工作，覆盖所有信息资产、业务系统、办公网络、云服务、外包供应商、数据处理活动、人员操作行为及配套软硬件设施。覆盖评估全生命周期：评估策划、资产识别、风险识别、风险分析、风险评价、风险处置、资料归档、动态迭代、复盘改进。适用于年度常规评估、业务变更专项评估、安全事件后复盘评估、重大系统上线前预评估。1.3核心合规依据1.ISO/IEC27001:2022信息安全管理体系要求条款6.1、9.1、10.12.ISO/IEC27005:2018信息安全风险管理方法论指南3.GB/T20984-2022信息安全技术信息安全风险评估方法4.《网络安全法》《数据安全法》《个人信息保护法》合规风控要求5.ISO27001:2022附录A安全控制措施适配准则1.4核心管理原则风险导向原则：以业务安全、数据安全为核心，聚焦中高风险重点管控，杜绝平均化、形式化评估。真实客观原则：基于企业实际场景、现有防护措施、真实运维现状评估，杜绝主观臆断、模板化套改。动态迭代原则：支持年度常规评估+变更专项评估+事件触发评估，实现风险实时更新。闭环管控原则：实现风险识别-分析-评价-处置-验证-复盘全流程PDCA闭环。最小干预原则：风险处置贴合企业实际运营，兼顾安全合规与业务连续性，不盲目增设管控成本。2风险评估核心方法论体系结合中小企业落地难度与审核合规要求，本手册采用行业通用、审核认可度最高的定性+定量混合评估法，兼顾精准度与实操性：核心资产采用精准定量评分，普通资产采用规范定性分级，规避纯定性主观太强、纯定量落地难度大的痛点，完全适配ISO27001审核判定标准。2.1主流评估方法对比定性评估法：以高、中、低分级描述风险可能性与影响，操作简单、无需大量数据支撑，适合中小规模企业、普通办公资产、无历史安全数据场景，缺点是量化精度较低。定量评估法：通过资产价值、威胁频率、脆弱性分值精准计算风险数值，结果直观、可对比、可追溯，适合核心业务系统、敏感数据资产、关键ICT设施，缺点是对数据积累要求较高。混合评估法（本手册采用）：核心资产定量打分、普通资产定性分级，兼顾合规性、精准性、落地性，是目前ISO27001认证、监审、换证唯一最优落地方法。2.2风险计算核心公式（标准合规版）风险值=资产价值分值×威胁发生可能性分值×脆弱性严重程度分值该公式完全对标ISO27005与GB/T20984-2022标准，是官方认可的标准化计算逻辑，所有审核机构通用认可，杜绝自创公式、无依据打分问题。2.3统一量化评分维度（1-5分制）为解决企业评分口径混乱、主观随意问题，统一全域评分标准，所有评估人员严格遵照执行：资产价值分值（1-5分）：基于资产保密性、完整性、可用性（CIA三性）综合判定，分值越高资产越核心。威胁可能性分值（1-5分）：基于历史发生频次、外部攻击趋势、内部操作风险、漏洞存续时长判定。脆弱性分值（1-5分）：基于现有防护缺失、配置漏洞、制度缺陷、人员能力短板、管控疏漏判定。2.4风险等级判定标准（固定阈值）高风险（重大风险）：风险值≥50，可直接导致业务中断、数据泄露、合规处罚、重大资产损失，需立即整改、重点管控。中风险（一般风险）：20≤风险值＜50，存在局部安全隐患，可引发小规模安全问题，需限期整改、优化管控。低风险（轻微风险）：风险值＜20，风险影响极小，不影响核心业务与数据安全，可常规管控、接受风险。3全流程标准化落地实操步骤本章拆解从评估策划到最终闭环的八大标准步骤，每一步明确操作要求、输出资料、审核要点，全程可直接落地、可追溯、可审计。3.1步骤一：评估策划与准备（前置必备）核心工作：明确评估范围、评估周期、评估团队、评估方法、评分规则，统一评估标准，规避范围遗漏、标准不一问题。评估范围：覆盖企业全部信息资产，包含软硬件设备、业务系统、云服务、数据资产、文档资料、人员权限、供应商服务、网络设备等，无死角、无遗漏。评估周期：年度全面风险评估（每年至少1次）+专项动态评估（业务变更、系统迭代、安全事件、新规落地即时触发）。必备输出资料：《年度风险评估计划》《风险评估方法与评分准则文件》《评估团队职责清单》。3.2步骤二：全域信息资产识别与分级资产识别是风险评估的基础，资产遗漏直接判定评估无效，是审核高频不合格项。资产分类全覆盖1.硬件资产：服务器、交换机、防火墙、终端电脑、存储设备、监控设备；2.软件资产：业务系统、OA系统、数据库、云平台、第三方应用；3.数据资产：客户信息、业务数据、财务数据、涉密文档、系统配置数据；4.服务资产：外包运维、云服务、供应商技术服务、数据处理服务；5.人员与制度资产：岗位权限、安全制度、运维流程、培训体系。资产分级管理：基于CIA三性划分为核心资产、重要资产、一般资产，匹配差异化管控力度与评估精度。必备输出资料：《全量信息资产台账》《资产分级定级表》《资产责任划分清单》。3.3步骤三：威胁与脆弱性精准识别多数企业评估流于形式的核心问题：仅罗列资产，未精准识别对应威胁与脆弱性，导致风险无依据、处置无靶向。威胁识别（外部+内部）外部威胁：网络攻击、病毒木马、漏洞利用、钓鱼邮件、供应链攻击、合规政策变更；内部威胁：员工误操作、权限滥用、数据误删、设备故障、运维不规范、外包人员违规操作。脆弱性识别（技术+管理）技术脆弱性：系统高危漏洞、弱密码、无备份、无访问审计、未加密、权限过大、设备老旧；管理脆弱性：制度缺失、培训不足、无定期核查、事件处置不规范、供应商管控缺失、无动态风控机制。必备输出资料：《威胁清单库》《脆弱性清单库》《资产-威胁-脆弱性关联对照表》。3.4步骤四：风险分析与量化打分严格按照统一评分标准，对每一项资产对应的威胁、脆弱性进行打分，通过标准公式计算风险值，杜绝主观随意调整分数，所有打分结果需备注依据，可追溯核查。核心要求：打分必须贴合企业真实现状，现有已落地的防护措施需纳入打分考量，避免虚高风险值；未落地管控的漏洞与隐患，如实判定脆弱性分值。常见审核雷区：所有风险全部评为低风险、打分无差异、年度分数无变化、高分风险无对应处置措施。3.5步骤五：风险评价与等级归类根据计算得出的风险值，完成所有风险项等级归类，梳理年度中高风险清单，明确风险影响范围、潜在损失、合规影响，筛选年度核心管控重点。评价核心逻辑：中高风险必须100%重点管控、限期闭环；低风险常态化监控、定期复盘；杜绝中高风险无处置、无整改、无验证。3.6步骤六：风险处置策略选择与落地ISO27001标准明确四类风险处置方式，所有风险项必须匹配唯一处置策略，杜绝无处置、策略混用问题。1.风险减缓（最常用）：通过优化制度、加固技术、规范流程、强化管控降低风险等级，适用于绝大多数中高风险项。2.风险转移：通过购买安全服务、网络安全保险、外包专业运维转移风险，适用于技术门槛高、企业无法自主管控的风险。3.风险规避：停止高风险业务、停用不安全系统、终止高风险合作，适用于无法管控、影响极大的高危风险。4.风险接受：针对低风险项，明确接受理由、管控措施、监控频次，禁止无理由接受中高风险。落地要求：每一条中高风险必须制定专项处置计划，明确整改措施、责任人、完成时限、资源配置、验收标准。3.7步骤七：剩余风险确认与管控风险整改处置完成后，需重新评估风险等级，确认剩余风险，形成闭环记录。剩余风险需控制在企业可接受范围内，超高剩余风险需二次优化处置措施，杜绝风险闭环虚假完成。3.8步骤八：报告输出与SoA适配联动输出完整《信息安全风险评估报告》，同步依据风险结果编制、更新《适用性声明SoA》，实现风险项、处置措施、附录A控制项、SoA选用状态一一对应，彻底解决审核高频问题：风险与SoA脱节、控制措施选用无依据。4风险处置落地与闭环管理4.1中高风险专项闭环要求1.高风险项：立即停工整改、暂停风险业务，7个工作日内完成整改，整改后2次复查验证，确保彻底清零；2.中风险项：15个工作日内完成优化整改，完善管控机制，留存整改、验证、复盘记录；3.所有中高风险必须纳入台账管理，实现“发现-评估-处置-验证-复盘-归档”全闭环。4.2风险处置必备证据链1.风险评估打分表、风险值计算依据、风险等级判定记录；2.中高风险处置计划表、整改实施方案；3.现场整改截图、配置记录、制度更新文件、培训记录；4.整改完成验证报告、剩余风险确认记录；5.风险处置年度复盘报告。4.3风险与体系联动机制1.风险评估结果直接用于年度信息安全KPI目标制定；2.中高风险项对应新增、优化体系控制措施；3.风险变化情况纳入内审核查、年度管理评审核心输入；4.重大风险直接触发专项应急管控与演练优化。5动态风险评估迭代机制（新版标准核心要求）ISO27001:2022重点强化风险动态管理，仅年度评估已不满足合规要求，必须建立触发式专项评估机制。5.1固定触发评估场景1.新增、下线、迭代核心业务系统、网络架构变更；2.新增核心供应商、外包服务模式变更；3.发生信息安全事件、重大漏洞曝光；4.国家网络安全、数据安全新规政策落地；5.企业业务模式、数据处理范围重大调整。5.2迭代更新要求触发场景发生后10个工作日内完成专项风险评估，更新资产台账、风险清单、处置措施、SoA文件，确保体系始终适配最新风险现状，杜绝资料滞后、体系脱节问题。6审核高频不符合项与整改方案6.1问题1：资产识别不全，遗漏云资产、数据资产、外包服务资产问题根因：仅统计硬件设备，未覆盖软件、数据、服务类资产，资产盘点不全面。整改方案：开展全域资产复盘盘点，补齐遗漏资产台账，完善资产分类体系，建立季度资产盘点+动态更新机制，确保资产100%全覆盖。6.2问题2：风险打分主观随意，无依据、无差异问题根因：无标准化评分准则，模板化套改，未结合企业实际防护现状打分。整改方案：固化统一评分标准，重新校核全量风险打分，每条分数备注依据，区分核心资产与普通资产风险差异，杜绝全员低分、无高风险假象。6.3问题3：中高风险无处置、无整改、无剩余风险验证问题根因：重评估、轻处置，仅输出报告，无落地闭环，风险管理流于形式。整改方案：建立中高风险专项台账，逐一制定处置方案、限期整改落地，完成后开展二次风险评估，确认剩余风险，补齐全套闭环证据。6.4问题4：风险评估与SoA控制措施脱节问题根因：SoA模板化编制，未基于风险结果选用、删减控制项，无对应逻辑。整改方案：重构适用性声明，每条附录A控制项的选用、删减均匹配风险评估结果，建立风险-控制-SoA对应清单，明确选用依据。6.5问题5：无动态评估，仅年度一次性评估问题根因：未落实新版标准动态风控要求，无变更、事件触发评估机制。整改方案：新增动态风险评估管理制度，补全过往业务变更、系统迭代专项评估记录，固化触发式评估流程。7标准化输出文件与归档证据清单所有资料分类归档、全程可追溯，为内审、外审、监管核查提供完整合规证据：1.信息安全风险评估管理制度、评分准则文件；2.年度风险评估工作计划；3.全量信息资产台账、资产分级定级表；4.威胁与脆弱性识别清单、关联对照表；5.全量风险打分表、风险值计算底稿、风险等级清单；6.中高风险处置方案、整改台账、落地证据；7.剩余风险评估确认记录；8.年度风险评估总结报告；9.动态专项评估记录（变更、事件、政策更新）；10.风险评估与SoA、安全目标联动对应资料。8手册附则1.本手册为企业ISO27001:2022信息安全风险评估唯一执行标准，所有风险评估工作严格遵照本手册流程、方法、评分规则落地；2.本手册由信息安全管理部门负责解释、落地、监督与动态更新；3.本手册每年随标准更新、业务迭代、风险变化