信息安全风险评估实施流程..pptx

1、第1章信息安全风险评估实施流程第1章 信息平安风险评估实施流程1.1风险评估的准备1.2资产识别1.3脆弱性识别1.4已有平安措施确认1.5风险分析1.6风险评估文件记录1.7风险评估文件记第1章信息安全风险评估实施流程信息平安风险评估实施流程信息平安风险评估是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估平安事件一旦发生可能造成的危害程度，为防范和化解信息平安风险，或者将风险控制在可以接受的水平，制定针对性的抵御威胁的防护对策和整改措施以最大限度地保障网络和信息平安提供科学依据。第1章信息安全风险评估实施流程在信息化建设中，各类应用系统及其赖

2、以运用的根底网络、处理的数据和信息是业务实现的保障，由于其可能存在软硬件设备缺陷、系统集成缺陷等，以及信息平安管理中潜在的薄弱环节，都将导致不同程度的平安风险。第1章信息安全风险评估实施流程信息平安风险评估可以不断地、深入地发现信息系统建设、运行、管理中的平安隐患，并为增强平安性提供有效建议，以便采取更加经济、更加有力的平安保障措施，提高信息平安的科学管理水平，进而全面提升网络与信息系统的平安保障能力。信息平安风险评估在具体实施中一般包括风险评估的准 备活动，对信息系统资产平安、面临威、存在脆弱性的识别，对已经采取平安措施确实认，对可能存在的信息平安风险的 识别等环节。第1章信息安全风险评估实

3、施流程1.1 风险评估的准备风险评估的准备是实施风险评估的前提，只有有效地进 行了信息平安风险评估准备，才能更好地开展信息平安风险 评估。由于实施信息平安风险评估，涉及组织的业务流程、信息平安需求、信息系统规模、信息系统结构等多方面内容，因此开展信息平安风险评估的准备活动，通过确定目标、进 行调研、获得组织高层管理者对评估的支持等，对有效实施 风险评估是十分必要的。第1章信息安全风险评估实施流程信息平安评估的准备活动包括1.确定风险评估的目标2.确定风险评估的范围3.组建风险评估管理团队和评估实施团队4.进行系统调研5.确定评估依据和方法6.获得最高管理者对风险评估工作的支持第1章信息安全风险

4、评估实施流程1.1.1 确定风险评估的目标首先需要确定风险评估的目标，信息平安需求是一个组 织为保证其业务正常、有效运转而必须到达的信息平安要求，通过分析组织必须符合的相关法律法规、组织在业务流程中 对信息平安等的机密性、可用性、完整性等方面的需求，来 确定风险评估的目标。第1章信息安全风险评估实施流程1.1.2 确定风险评估的范围在风险评估前，需要确定风险评估的范围。风险评估的范围，包括组织内部与信息处理相关的各类软硬件资产、相关的管理机构和人员、所处理的信息等各方面。实施一次风险评估的范围可大可小，需要根据具体评估需求确定，可以对组织全部的信息系统进行评估，也可以仅对关键业务流程进行评估，

5、也可以对组织的关键部门的信息系统进行评估等。第1章信息安全风险评估实施流程1.1.3 组建评估管理团队和评估实施团队在确定风险评估的目标、范围后，需要组建风险评估实施团队，具体执行组织的风险评估。由于风险评估涉及组织管理、业务、信息资产等各个方面，因此风险评估团队中除了信息平安评估人员的参与，以便更好地了解组织信息平安状况，以利于风险评估的实施。第1章信息安全风险评估实施流程1.1.4 进行系统调研在确定了风险评估的目标、范围、团队后，要进行系统调研，并根据系统调研的结果断定评估将采用的评估方法等技术手段。系统调研内容包括：第1章信息安全风险评估实施流程1.组织业务战略2.组织管理制度3.组织

6、主要业务功能和要求4.网络结构、网络环境包括内部连接和外部连接5.网络系统边界6.主要的硬、软件7.数据和信息8.系统和数据的敏感性9.系统使用人员10.其他系统调研方法可以采用问卷调查、现场访谈等方法进行。第1章信息安全风险评估实施流程1.1.5 确定评估依据和方法以系统调研结果为依据，根据被评估信息系统的具体情况，确定风险评估依据和方法。评估依据包括吸纳有国际或国家有关信息平安标准、组织的行业主 管机关的业务系统的要求和制度、组织的信息系统互连单位的平安要求、组织的信息系统本身的实时性或性能要求等。根据评估依据，并综合考虑评估的目的、范围时间效果评估人员素质等因素，选择具体的风险计算方法，

7、并依据组织业务实施对系统平安运行的需求，确定相关的评估判断依据，使之能够与组织环境和平安要求相适应。第1章信息安全风险评估实施流程1.1.6 获得支持就以上内容形成较为完整的风险评估实施方案，并报组织最高管理者批准，以获得其对风险评估方案的支持，同时在组织范围就风险评估相关内容对管理者和技术人员进行培训，以明确有关人员在风险评估中的任务。第1章信息安全风险评估实施流程1.2 资产识别1.2.1 资产分类风险评估需要对资产的价值进行识别，因为价值不同将导致风险值不同。而风险评估中资产的价值不是以资产的经济价值来衡量，而是以资产的机密性、完整性、和可用性三个方面属性为根底进行衡量。资产在机密性、完

8、整性和可用性三个属性上的要求不同，那么资产的最终价值也不同。第1章信息安全风险评估实施流程在一个组织中，资产有多种表现形式，同样的两个资产也因属于不同的信息系统而重要性不同。首先需要将信息系统及相关的资产进行恰当的分类，以此为根底进行下一步的风险评估。在实际工作中，具体的资产分类方法可以根据具体的评估对象和要求，由评估者灵活把握。根据资产的表现形式，可以将资产分为数据、软件、硬件、文档、效劳、人员等类型。表1-1列出了一种资产的分类方法。第1章信息安全风险评估实施流程表1-1一种基于表现形式的资产分类方法分类示例数据保存在信息媒介上的各种数据资料，包括源代码、数据库数据、系统文档、运行管理规程

9、、计划、报告、用户手册等软件系统软件：操作系统、语句包、工具软件、各种库等应用软件：外部购买的应用软件，外包开发的应用软件等源程序：各种共享的源代码、自行或合作开发的各种源代码等硬件网络设备：路由器、网关、交换机等计算机设备：大型机、小型机、服务器、工作站、台式计算机、移动计算机等存储设备：磁带机、磁盘阵列、磁带、光盘、软盘、硬盘等传输线路：光纤、双绞线等保障设备：动力保障设备（UPS、变电设备等）、空调、保险柜、文件柜、门禁、消防设施等安全保障设备：防火墙、入侵检测系统、身份验证等其他：打印机、复印件、扫描仪、传真机等第1章信息安全风险评估实施流程表1-1一种基于表现形式的资产分类方法分类示

10、例服务办公服务：为提高效率而开发的管理信息系统（MIS),包括各种内部配置管理文件文件流转管理等服务网络服务：各种网络设备、设施提供的网络连接服务信息服务：对外依赖该系统开展的各类服务文档纸质的各种文件，如传真、电报、财务报告、发展计划等人员掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理等其他企业形象、客户关系等第1章信息安全风险评估实施流程1.2.2 资产赋值对资产的赋值不仅要考虑资产的经济价值，更重要的是 要考虑资产的平安状况，即资产的机密性、完整性和可用性，对组织信息平安性的影响程度。资产赋值的过程也就是对资产在机密性完整性和可用性上的要求进行分析，并在此根底上

11、得出综合结果的过程。资产对机密性、完整性和可用性上的要求可由平安属性缺失时造成的影响来表示，这种影响可能造成某些资产的损害以至危及信息系统，还可能导致经济效益、市场份额、组织形象的损失。第1章信息安全风险评估实施流程1.机密性赋值根据资产在机密性上的不同要求，将其分为5个不同的等级，分别对应资产在机密性缺失时对整个组织的影响。表 1-2提供了一种机密性赋值的参考。第1章信息安全风险评估实施流程表1-2资产机密性赋值表赋值标识定义5很高包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性的影响，如果泄露会造成灾难性的损害4高包含组织的重要秘密，其泄露会使组织的安全和利益受到严重

12、损害3中等组织的一般性秘密，其泄露会使组织 的安全和利益受到损害2低仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织利益造成轻微损害1很低可对社会公开的信息、公用的信息第1章信息安全风险评估实施流程2.完整性赋值根据资产在完整性上的不同要求，将其分为5个不同的等级，分别对应资产在完整性商缺失时对整个组织的影响。表1-3提供了一种完整性赋值的参考。第1章信息安全风险评估实施流程表1-3资产完整性赋值表赋值 标识 定义5很高 完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能 造成严重的业务中断，损失难以弥补4高完整性价值较高，未经

13、授权的修改或破坏会对组织造成重大影响，对业务冲击严重，损失难以弥补3中等 完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但损失可以弥补2低完整性价值较低，未经授权的修改或第1章信息安全风险评估实施流程3.可用性赋值根据资产在可用性上的不同要求，将其分为5个不同的等级，分别对应资产在可用性上缺失时对整个组织的影响。表1-4提供了一种可用性赋值的参考。第1章信息安全风险评估实施流程表1-4资产可用性赋值表赋值标识 定义5很高 可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上，或系统不允许中断4高可用性价值较高，合法使用者对信息及信息系统的可用度达到

14、每天90%以上，或系统允许中断时间小于10分钟3中等 可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上，或系统允许中断时间小于30分钟2低可用性价值较低，合法使用者对信息及第1章信息安全风险评估实施流程4.资产重要性等级资产价值应依据资产在机密性、完整性和可用性上的赋值等级，经过综合评定得出。综合评定方法可以选择对资产机密性、完整性和可用性最为重要的一个属性的赋值等级作为资产的最终赋值结果；也可以根据资产机密性、完整性和可用性的不同等级对其赋值进行加权计算得到资产的最终赋值结果。加权方法可根据组织的业务特点确定。这里为与上述平安属性的赋值相对应，根据最终赋值资产划

15、分为5级，级别越高表示资产越重要，也可以根据组织的实际情况确定资产识别中的赋值依据和等级。表1-5中的资产等级划分说明了不同等级的重要性的综合描述。评估者可根据资产赋值结果，确定重要资产的范围，并围绕重要资产进行下一步的风险评估。第1章信息安全风险评估实施流程表1-5资产等级及含义描述赋值标识定义5很高非常重要，其安全属性破坏后可能对组织造成非常严重的损失4高重要，其安全属性破坏后可能对组织造成比较严重的损失3中等比较重要，其安全属性破坏后可能对组织造成中等程度的损失2低不太重要，其安全属性破坏后可能对组织造成较低的损失1很低不重要，其安全属性破坏后可能对组织造成很小的损失，甚至忽略不计信息安

16、全风险评估实施流程第1章3.威胁识别1.威胁分类信息平安威胁可以通过威胁主体、资源、动机、途径等多种属性来描述。造成威胁的因素可分为人为因素和环境因素。根据威胁的动机，人为因素又可分为恶意和非恶意两种。环境因素包括自然界不可抗力的因素和其他物理因素。威胁作用形式可以是对信息系统直接或间接的攻击，也可能是偶发的或蓄意的平安事件，都会在信息的机密性、完整性或可用性等方面造成损害。在对威胁进行分类前，应考虑威胁的来源。表1-6提供了一种威胁来源的分类方法。第1章信息安全风险评估实施流程表1-6威胁来源列表来 源描述环境因素由于断电、静电、灰尘、潮湿、温度、鼠蚊虫害、电磁干扰、洪灾、火灾、地震等环境条

17、件、自然灾害、意外事故以及软件、硬件数据、通信线路等方面的故障所带来的威胁人为威胁因某种原因，内部人员对信息系统进行恶意破坏；采用自主或内恶意人员外勾结的方式盗窃机密信息或进行篡改，获取利益外部人员利用信息系统的脆弱性，对网络或系统的机密性、完整性和可用性进行破坏，以获取利益或炫耀能力内部人员由于缺乏责任心，或者由于不关心和不专注，或者没有非恶意人员遵循规章制度和操作流程而导致故障或信息损坏；内部人员由于缺乏培训、专业技能不足、不具备岗位技能要求而导致信息系统故障或被攻击第1章信息安全风险评估实施流程1.3 威胁识别对威胁进行分类的方式有多种，针对表1-6的威胁来源，可以根据其表现形式进行威胁

18、分类。表1-7提供了一种基于表现形式的威胁分类方法。第1章信息安全风险评估实施流程表1-7一种基于表现形式的威胁分类表种类描述威胁子类软硬件故障由于设备硬件故障、通信链路中断、系统本身或软件缺陷造成对业务实施、系统稳定运行的影响设备硬件故障、传输设备故障、存储媒体故障、系统软件故障、应用软件故障、数据库软件故障、开发环境故障物理环境影响由于断电、静电、灰尘、潮湿、温度、鼠蚊虫害、电磁干扰、洪灾、火灾、地震等环境问题或自然灾害对系统造成的影响无作为或操作失误由于应该执行而没有执行相应的操作，或无意地执行了错误的操作，对系统造成的影响维护错误、操作失误管理不到位安全管理措施没有落实，造成安全管理不

19、规范，或者管理混乱，从而破坏信息系统正常有序运行第1章信息安全风险评估实施流程表1-7一种基于表现形式的威胁分类表种类描述威胁子类恶意代码故意在计算机系统上执行恶意任务的程序代码网络病毒、间谍软件、窃听软件、蠕虫、陷门等越权或滥用通过采用一些措施，超越自己的权限访问了本来无权访问的资源，或者滥用自己的职权，做出破坏信息系统的行为非授权访问网络资源、非授权访问系统资源、滥用权限非正常修改系统配置或数据、滥用权限泄露秘密信息网络攻击利用工具和技术、如侦察、密码破译、嗅探、伪造和欺骗、拒绝服务等手段，对信息系统进行攻击和入侵网络探测和信息采集、漏洞探测嗅探（账户、口令、权限等）用户身份伪造和欺骗、用

20、户或业务数据的窃取和破坏、系统那个运行的控制和破坏物理攻击通过物理接触造成对软件、硬件、数据的破坏物理接触、物理破坏、盗窃第1章信息安全风险评估实施流程表1-7一种基于表现形式的威胁分类表种类描述威胁子类泄密信息泄露给不应该了解的人员内部信息泄露、外部信息泄露篡改非法修改信息，破坏信息的完整性使系统的安全性降低或信息不可用篡改网络配置信息、系统配置信息、安全配置信息、用户身份信息或业务数据信息抵赖不承认收到的信息和所作的操作和交易原发抵赖、接收抵赖、第三方抵赖第1章信息安全风险评估实施流程1.3威胁识别1.3.2 威胁赋值威胁出现的频率是衡量威胁严重程度的重要要素，因此威胁识别后需要对威胁频率

21、进行赋值，已带入最后的风险计算中。评估者应根据经验和或有关的统计数据来对威胁频率进行赋值，威胁赋值中需要综合考虑以下三个方面因素。第1章信息安全风险评估实施流程1.3威胁识别1.3.2威胁赋值1 以往平安事件报告中出现过的威胁及其频率的统计2 实际环境中通过检测工具以及各种日志发现的威胁及其频率的统计；3 近年来国际组织发布的对与整个社会或特定的行业的威胁及其频率统计，以及发布的威胁预警。可以对威胁出现的频率进行等级化处理，不同等级分别代表威胁出现的频率的上下。等级数值越大，威胁出现的频率越高。第1章信息安全风险评估实施流程表1-8威胁赋值表等级标识定义5很高出现频率很高（或=1 次/周）；或

22、在大多数情况下几乎不可能避免；或可以证实经常发生过4高出现频率较高（或=1 次/月）；或在大多数情况下很有可能会发生；或可以证实多次经常发生过3中等出现频率中等（或=1 次/半年）；或在某种情况下可能会发生；或被证实曾经发生过2低出现频率较小；或一般不太可能发生；或没有被证实发生过1很低威胁几乎不可能发生；仅可能在非常罕见和例外的情况下发生第1章信息安全风险评估实施流程表1-8 提供了威胁出现频率的一种赋值方法。在实际的评估中，威胁频率的判断应根据历史统计或行业判断，在评估准备阶段确定，并得到被评估方的认可。第1章信息安全风险评估实施流程1.4 脆弱性识别脆弱性是资产本身存在的，如果没有被相应

23、的威胁利用，单纯的脆弱性本身不会对资产造成损害。而且如果系统足够强健，严重的威胁也不会导致平安事件发生进而带来损失。即，威胁总是要利用资产的脆弱性才可能造成危害。第1章信息安全风险评估实施流程资产的脆弱性具有隐蔽性，有些脆弱性只有在一定条件下和环境下才能显现，这是脆弱性识别中最为困难的局部。不正确的，起不到应有作用的或没有正确实施平安措施本身就可能存在脆弱性。第1章信息安全风险评估实施流程脆弱性识别是风险评估中最重要的一个环节。脆弱 性识别可以以资产为核心，针对每一项需要保护的资产，识别可能被威胁利用的弱点，并对脆弱的严重程度进行 评估，也可以从物理、网络、系统、应用等层次进行识 别，然后与资

24、产、威胁对应起来。脆弱识别的依据可以 是国际国家平安标准，也可以是行业标准、应用流程的 平安要求。对应用在不同的环境中的相同弱点，其脆弱 性严重程度是不同的，评估者应从组织平安策略的角度 考虑、判断资产的脆弱性及其严重程度。第1章信息安全风险评估实施流程信息系统所采用的协议、应用流程的完备与否、与其他网络的互联等也应考虑在内。脆弱性识别时的数据应来自于资产的所有者、使用者，以及相关业务领域和软硬件方面的专业人员等。脆弱性识别所采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。第1章信息安全风险评估实施流程脆弱性识别主要从技术和管理两个方面进行，技术脆弱性涉及物理层、网络层

25、、系统层、应用层等各个层面的平安问题。管理脆弱性又可分为技术管理脆弱性和组织管理脆弱性两方面，前者与具体技术活动相关，后者与管理环境相关。第1章信息安全风险评估实施流程对不同的识别对象，其脆弱性识别的具体要求应参照相应的技术或管理标准实施。例如，对物理环境的脆弱性识别可以参照GB/T 9361-2000计算机场地平安要求中的技术指标实施；对操作系统、数据库可以参照 GB 17859-1999计算机信息系统平安保护等级划分准那么中的技术指标实施管理脆弱性识别方面可以参照GB/T 19716-2005信息技术信息平安管理实用规那么的要求对平安管理制度及及执行情况进行检查，发现管理漏洞和缺乏。表提供

26、一种脆弱性识别内容的参考。第1章信息安全风险评估实施流程表1-9脆弱性识别内容表类型 识别对象识别内容技术脆弱性物理环境从机房场地、机房防火、机房供配电、机房防静电、机房接地与防雷、电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行识别网络结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全策略等方面进行识别系统软件（含操作系从补丁安装。物理保护、用户账号、口令策略、资源共享、事件审查、访问控制、新系统配置（初始化）、第1章信息安全风险评估实施流程类型识别对象识别内容技术脆弱性数据库软件从补丁安装、鉴别机制、口令机制、访问控制、网络和服务设置、备份恢复机制

27、等方面进行识别应用中间件从协议安全、交易完整性、数据完整性等方面进行识别应用系统从审计机制、审计存储、访问控制列表策略、数据完整性、通信、鉴别机制、密码保护等方面进行识别管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别组织管理从策略安全、组织安全、资产分类与控制、人员安全、符合性等方面进行识别第1章信息安全风险评估实施流程脆弱性赋值可以根据对资产的损害程度、技术实现的难易程度、弱点的程度，采用等级方式对已识别的脆弱性的严重进行赋值。由于很多弱点反映的是一方面的问题，或可能造成相似的后果，赋值时应综合考虑这些弱点，以确定这一方面脆弱性的严重程

28、度。对某个资产，其技术脆弱性的严重程度还受到组织管理脆弱性的影响。因此，资产的脆弱赋值还应参考技术管理和组织管理脆弱性的严重程度。第1章信息安全风险评估实施流程脆弱性严重程度可以进行等级化管理，不同的等级分别代表资产脆弱性的严重程度上下。等级数值越大，脆弱性严重程度越高。表1-10提供了脆弱性严重程度的一种赋值方法。第1章信息安全风险评估实施流程表1-10脆弱性严重程度赋值表等级标识定义5很高如果被威胁利用，将对资产造成完全损害4高如果被威胁利用，将对资产造成重大损害3中如果被威胁利用，将对资产造成一般损害2低如果被威胁利用，将对资产造成较小损害1很低如果被威胁利用，将对资产造成的损害可以忽略

29、第1章信息安全风险评估实施流程1.5 已有平安措施确认平安措施可以分为预防性平安措施和保护性平安措施两种。预防性平安措施可以降低威胁利用脆弱性导致平安事件发生的可能性，如入侵检测系统；保护性平安措施可以减少因平安事件发生后对组织或系统造成的影响。第1章信息安全风险评估实施流程在识别脆弱性的同时，评估人员应对已采取的平安 措施的有效性进行检查，检查平安措施是否有效发挥了 作用，即是否真正降低了系统的脆弱性，抵御了威胁。对于已经有效地发挥了其作用的平安措施，应继续保持，而不用重复建设平安措施；对于不适当的平安措施，用 对其进行改进，或采用更适宜的平安措施替代。第1章信息安全风险评估实施流程已有平安

30、措施确认与脆弱性识别存在一定的联系。一般来说，平安措施的使用将减少系统技术或管理上的弱点，但平安措施确认并不需要和脆弱性识别过程那样具体到每个资产、组件的弱点，而是一类具体措施的集合，为风险处理方案的制定提供依据和参考。第1章信息安全风险评估实施流程6.风险分析1.风险计算原理风险定义为威胁利用脆弱性导致平安事件发生的可能性。在完成了资产识别、威胁识别、脆弱性识别，以及对已 有平安措施确认后，将采用适当的方法与工具进行平安 风险分析和计算，下面使用的范式形式化说明风险计算 原理：第1章信息安全风险评估实施流程风险值=R=A,T,V=R(L(T,V),F(Ia,Va)其中：R表示平安风险计算函数

31、，A表示资产，T表示威胁出现频率，V表示脆弱性，Ia表示平安事件所作用的资产价值，Va表示脆弱性严重程度，L表示威胁利用资产的脆弱性导致平安事件发生的可能性，F表示平安事件发生后产生的损失。第1章信息安全风险评估实施流程在风险计算中有以下三个关键计算环节：1.计算平安事件发生的可能性根据威胁出现频率及弱点的状况，计算威胁利用脆弱性导致平安事件发生的可能性，即：平安事件发生的可能性=L威胁出现频率，脆弱性=(L,V)在具体评估中，应综合攻击者技术能力专业技术程度、攻击设备等、脆弱性被利用的难易程度可访问时间、设计和操作知识公开程度等、资产吸引力等因素来判断平安事件发生的可能性。第1章信息安全风险

32、评估实施流程2.计算平安事件发生后的损失根据资产价值及脆弱性严重程度，计算平安事件一旦发生后的损失，即：平安事件的损失=F资产价值，脆弱性严重程度=F(Ia,Va)局部平安事件的发生造成的损失不仅仅是针对该资产本身，还可能影响业务的连续性；不同平安事件的发生对组织造成的影响也是不一样的。在计算某个平安事件的损失，应将对组织的影响也考虑在内。第1章信息安全风险评估实施流程局部平安事件损失的判断还应参照平安事件发生的可能性的结果，对发生可能性极少的平安事件，如处于非地震带的地震威胁、在采取完备供电措施状况下的电力故障威胁等，可以不计算其损失。第1章信息安全风险评估实施流程3.计算风险值根据计算出的

33、平安事件发生的可能性以及平安事件的损失，计算风险值，即：风险值=R平安事件发生的可能性，平安事件的损失=R(L(T,V),F(Ia,Va)第1章信息安全风险评估实施流程评估者可根据自身情况选择相应的风险计算方法计算出风险值，如矩阵法或相乘法。矩阵法通过构造一个二维矩阵，形成平安事件发生的可能性与平安事件的损失之间的二维关系；相乘法通过构造经验函数，将平安事件发生的可能性与平安事件的损失进行运算得到风险值。第1章信息安全风险评估实施流程1.6.2 风险结果判定为实现对风险的控制与管理，可以对风险评估的结果进行等级化处理。可以将风险划分为一定的级别，如划分为5级或3级。等级越高，风险越高。评估者应根据采用的风险计算方法，计算每种资产面临的危险值，根据风险值的分布状况，为每个等级设定风险值范围，并对所有风险计算结果进行等级处理。每个等级代表了相应风险的严重程度。第1章信息安全风险评估实施流程表1