风险评估实施步骤
风险评估流程
风险评估流程在当今充满不确定性的环境下，风险管理已成为组织成功的关键因素之一。
风险评估是风险管理的核心部分，它可以帮助组织识别和评估风险，以制定相应的应对措施。
本文将讨论风险评估的流程，并提供一些建议，以帮助组织有效地实施风险评估。
步骤1：确定评估目标首先，组织应该确定评估的目标。
这些目标应该与组织整体战略和目标一致。
例如，组织可能希望评估其业务风险、IT风险或财务风险等。
步骤2：收集信息接下来，组织应该收集与目标相关的信息。
这些信息可能包括内部和外部的数据和文件。
例如，内部文件可能包括过往的审计报告、安全政策和程序、员工手册等等。
外部数据可能包括市场分析、竞争分析、监管要求等。
步骤3：识别风险在收集了足够的信息后，组织应该开始识别潜在的风险。
这些风险可以是内部的或外部的，可能是物理的、技术的、政治的、法律的等等。
在识别风险时，组织应该将其分类，并确定其潜在的影响和可能性。
步骤4：评估风险在识别了风险后，组织需要评估每个风险的重要性和可能性，以确定其对组织的影响。
这些评估可以基于定量或定性的方法，取决于可用数据的数量和质量。
在评估风险时，组织应该考虑潜在的损失、影响的范围、发生的概率等等。
步骤5：制定应对措施在评估了每个风险之后，组织应该制定相应的应对措施。
这些措施应该是针对每个风险的，并应该考虑该风险对组织的重要性和潜在影响。
应对措施可能包括风险转移、风险降低、风险避免等等。
步骤6：监测和更新最后，组织应该监测其风险管理计划的有效性，并及时更新其风险评估。
组织应该及时对新的风险进行识别和评估，并制定相应的应对措施。
这有助于组织保持其风险管理计划的有效性和适应性。
结论有效的风险评估流程是组织风险管理的重要组成部分。
通过确定评估目标、收集信息、识别风险、评估风险、制定应对措施和监测和更新，组织可以控制其与各种风险相关的潜在损失。
建议组织在实施风险评估之前先开展风险意识教育，这有助于提高员工对风险的敏感度和意识，并为风险评估提供更完整的信息。
信息安全风险评估的实施步骤与要点
信息安全风险评估的实施步骤与要点随着信息技术的高速发展，信息安全问题日益突出。
为了保护信息系统的安全，评估信息安全风险显得尤为重要。
本文将介绍信息安全风险评估的实施步骤与要点。
一、风险评估的定义和目的信息安全风险评估是指对信息系统中的各种风险进行识别、分析和评估的过程，以便采取相应的安全措施降低风险发生的可能性和影响程度。
其目的是确保信息系统的可靠性、可用性和保密性，以及遵守法规和规章制度的要求。
二、实施步骤1. 制定评估目标和范围在进行信息安全风险评估之前，要明确评估的目标和范围。
评估目标可以是为了确保核心业务的安全性，或是满足法律法规的要求。
评估范围可以是整个信息系统，也可以是指定的重要部分。
2. 识别和分类可能存在的风险识别和分类风险是评估的关键步骤。
可以通过对信息系统进行全面的检查，包括对网络架构、系统配置、访问控制等多个方面进行调查和分析，从而确定可能存在的风险。
3. 分析风险的概率和影响在确定风险后，需要对风险的概率和影响进行分析。
概率可以通过历史数据、统计分析和专家判断等方法进行评估，而影响则包括信息系统性能受到损害、数据泄露、服务中断等方面。
4. 评估风险的等级和优先级评估风险的等级和优先级是为了确定哪些风险需要优先处理。
可以根据风险的概率和影响程度，制定相应的评估模型，将风险划分为高、中、低等级，并确定优先级。
5. 提出有效的防控措施在评估风险等级和优先级后，需要提出相应的防控措施。
可以参考相关的安全标准和最佳实践，针对不同的风险制定相应的安全策略，包括技术安全措施、管理安全措施和物理安全措施等。
6. 实施和监控防控措施防控措施的实施和监控是信息安全风险评估的关键环节。
要确保防控措施能够有效地降低风险，并及时发现和处理新的风险。
三、评估要点1. 风险评估应定期进行，及时发现和处理新的风险。
2. 需要进行全面的评估，包括对技术系统、人员行为和物理环境等多个方面的分析。
3. 评估结果应具有客观性和可靠性，需要依据准确的数据和专业的判断。
风险评估实施步骤
风险评估实施步骤风险评估是企业、政府或组织评估其活动中存在的潜在风险的过程。
风险评估的目的是确定风险发生的可能性和预测潜在损失的程度，并确定相应的风险管理措施。
下面是风险评估的实施步骤：1.确定评估范围：首先，确定评估的对象和范围。
评估的对象可能是整个组织、一个项目、一个业务流程或一个特定的风险领域。
2.识别潜在风险：通过收集信息和开展调查，识别与评估对象相关的潜在风险。
这包括内部和外部风险，如技术风险、市场风险、法律风险等。
3.评估风险可能性：评估每个潜在风险发生的可能性。
这可以通过定性和定量方法来完成。
定性方法是基于专家意见和经验的主观判断，定量方法则是通过统计数据和建模来计算风险可能性。
4.评估风险影响程度：评估每个潜在风险发生时的潜在影响程度。
这包括财务损失、声誉损失、法律责任等。
同样，可以使用定性和定量方法来评估风险的影响程度。
5.计算风险值：将风险可能性和风险影响程度结合起来，计算每个潜在风险的风险值。
风险值通常以定量方式表示，如数字或百分比。
6.优先级排序：根据风险值，对风险进行优先级排序。
通过将各个风险按照风险值的降序排列，可以确定哪些风险最值得关注。
7.评估现有控制措施：对现有的风险管理措施进行评估，确定它们对降低风险的有效性。
如果发现现有控制措施不足以应对一些风险，需要考虑采取额外的控制措施。
8.评估风险持续性：评估每个潜在风险的持续性，即风险会持续存在的可能性。
这有助于确定哪些风险需要经常监测和更新。
9.制定风险管理策略：根据评估结果，制定合适的风险管理策略。
这可以包括风险规避、风险转移、风险减轻和风险接受等策略。
10.监测和更新：定期监测和更新风险评估。
风险环境是不断变化的，因此评估结果需要定期更新，以确保风险管理策略的有效性。
总结起来，风险评估的实施步骤包括确定评估范围、识别潜在风险、评估风险可能性和影响程度、计算风险值、优先级排序、评估现有控制措施、评估风险持续性、制定风险管理策略和定期监测和更新。
风险评估的实施步骤
风险评估的实施步骤转载于⼀风评准备1.确定风险评估的⽬标2.确定风险评估的范围3.组建适当的评估管理与实施团队4.进⾏系统调研，采取问卷调查、现场询问等⽅式，⾄少包括以下内容：• 业务战略及管理制度• 主要的业务功能和要求• ⽹络结构与⽹络环境，包括内部链接好外部链接• 系统边界• 主要的硬件、软件• 数据和信息• 系统和数据的敏感性• ⽀持和使⽤系统的⼈员5.制定⽅案，为之后的风评实施提供⼀个总体计划，⾄少包括：• 确定实施评估团队成员• ⼯作计划及时间进度安排6.获得最⾼管理者对风险评估⼯作的⽀持⼆资产识别资产的价值是按照资产在保密性、完整性和可⽤性上达到的程度或者其未达到时造成的影响程度来决定1.资产分类根据资产的表现形式，可将资产分为数据、软件、硬件、⽂档、服务、⼈员等类2.资产的赋值（五个等级：可忽略、低、中等、⾼、极⾼）• 保密性赋值：根据资产在保密性上的不同要求，对应资产在保密性上应达成的不同程度或者密保性缺失时对整个组织的影响，划分为五个不同的等级• 完整性赋值：根据资产在完整性上的不同要求，对应资产在完整性上缺失时对整个组织的影响，划分为五个不同的等级• 可⽤性赋值：根据资产在可⽤性上的不同要求，对应资产在可⽤性上应达成的不同程度，划分为五个不同的等级3.资产重要性等级（五个等级：很低、低、中、⾼、很⾼）资产价值应依据资产在机密性、完整性和可⽤性上的赋值等级，经过综合评定得出。
综合评定⽅法，可以根据组织⾃⾝的特点，选择对资产机密性、完整性和可⽤性最为重要的⼀个属性的赋值等级作为资产的最终赋值结果，也可以根据资产机密性、完整性和可⽤性的不同重要程度对其赋值进⾏加权计算⽽得到资产的最终赋值。
加权⽅法可根据组织的业务特点确定。
三威胁识别威胁是⼀种对组织及其资产构成潜在破坏的可能性因素，是客观存在的。
1.威胁的分类根据威胁的来源，威胁可分为软硬件故障、物理环境威胁、⽆作为或操作失误、管理不到位、恶意代码和病毒、越权或滥⽤、⿊客攻击技术、物理攻击、泄密、篡改、抵赖2.威胁的赋值（五个等级：很低、低、中、⾼、很⾼）判断威胁出现的频率是威胁识别的重要⼯作，评估者应根据经验和（或）有关的统计数据来进⾏判断。
风险评估 流程
风险评估流程
风险评估的流程包括以下步骤：
1. 确定评估的目标和范围。
2. 组建评估团队：选择具备相关经验和专业知识的成员，并分配好各自的任务。
3. 进行系统调研：收集关于目标系统的所有相关信息，并进行深入了解。
4. 资产识别与赋值：识别评估范围内的所有资产，并调查资产破坏后可能造成的损失大小，根据危害和损失的大小为资产进行相对赋值。
5. 确定评估依据和方案：根据目标系统的特点，选择适当的评估标准和评估方法，并制定详细的评估方案。
6. 风险分析：对识别出的资产进行威胁分析、脆弱性分析，计算出资产的风险值。
7. 风险评估结果输出：根据风险分析的结果，形成风险评估报告，详细列出每项资产的风险值和相应的风险等级。
8. 制定风险应对措施：根据风险评估报告，制定相应的风险应对措施，降低或消除风险。
9. 定期更新：定期对目标系统进行风险评估，以确保系统的安全性。
以上信息仅供参考，如需了解更多信息，建议查阅相关书籍或咨询专业人士。
开展风险评估工作的流程或步骤
开展风险评估工作的流程或步骤下载温馨提示:该文档是我店铺精心编制而成，希望大家下载以后，能够帮助大家解决实际的问题。
文档下载后可定制随意修改，请根据实际需要进行相应的调整和使用，谢谢!并且，本店铺为大家提供各种各样类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，如想了解不同资料格式和写法，敬请关注!Download tips: This document is carefully compiled by theeditor. I hope that after you download them,they can help yousolve practical problems. The document can be customized andmodified after downloading,please adjust and use it according toactual needs, thank you!In addition, our shop provides you with various types ofpractical materials,such as educational essays, diaryappreciation,sentence excerpts,ancient poems,classic articles,topic composition,work summary,word parsing,copy excerpts,other materials and so on,want to know different data formats andwriting methods,please pay attention!1. 确定评估目标和范围：明确风险评估的目的是什么，例如评估项目的风险、企业的风险等。
风险评估实施步骤
风险评估实施步骤一风评准备1. 确定风险评估的目标2.确定风险评估的范围3.组建适当的评估管理与实施团队4.进行系统调研，采取问卷调查、现场询问等方式，至少包括以下内容：•业务战略及管理制度•主要的业务功能和要求•网络结构与网络环境，包括内部链接好外部链接•系统边界•主要的硬件、软件•数据和信息•系统和数据的敏感性•支持和使用系统的人员5.制定方案，为之后的风评实施提供一个总体计划，至少包括：•确定实施评估团队成员•工作计划及时间进度安排6.获得最高管理者对风险评估工作的支持二资产识别资产的价值是按照资产在保密性、完整性和可用性上达到的程度或者其未达到时造成的影响程度来决定1.资产分类根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类2.资产的赋值（五个等级：可忽略、低、中等、高、极高）•保密性赋值：根据资产在保密性上的不同要求，对应资产在保密性上应达成的不同程度或者密保性缺失时对整个组织的影响，划分为五个不同的等级•完整性赋值：根据资产在完整性上的不同要求，对应资产在完整性上缺失时对整个组织的影响，划分为五个不同的等级•可用性赋值：根据资产在可用性上的不同要求，对应资产在可用性上应达成的不同程度，划分为五个不同的等级•3.资产重要性等级（五个等级：很低、低、中、高、很高）资产价值应依据资产在机密性、完整性和可用性上的赋值等级，经过综合评定得出。
综合评定方法，可以根据组织自身的特点，选择对资产机密性、完整性和可用性最为重要的一个属性的赋值等级作为资产的最终赋值结果，也可以根据资产机密性、完整性和可用性的不同重要程度对其赋值进行加权计算而得到资产的最终赋值。
加权方法可根据组织的业务特点确定。
三威胁识别威胁是一种对组织及其资产构成潜在破坏的可能性因素，是客观存在的。
1.威胁的分类根据威胁的来源，威胁可分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、黑客攻击技术、物理攻击、泄密、篡改、抵赖2.威胁的赋值（五个等级：很低、低、中、高、很高）判断威胁出现的频率是威胁识别的重要工作，评估者应根据经验和（或）有关的统计数据来进行判断。
风险评估流程
风险评估流程风险评估流程是一种系统性的方法，用于识别和评估潜在风险，以便采取适当的措施来降低或者消除这些风险。
该流程通常由几个关键步骤组成，包括风险识别、风险分析、风险评估和风险控制。
下面将详细介绍每一个步骤的内容和要求。
1. 风险识别：- 确定评估的对象：明确需要进行风险评估的项目、过程或者活动。
- 采集信息：采集与评估对象相关的信息，包括过去的经验、相关文件和记录等。
- 确定潜在风险：识别可能对项目或者活动造成不利影响的潜在风险。
2. 风险分析：- 确定风险因素：对潜在风险进行分类，确定可能导致风险发生的因素。
- 评估风险的概率：根据过去的经验或者专家意见，评估每一个风险因素发生的概率。
- 评估风险的影响：评估每一个风险因素发生时可能对项目或者活动造成的影响程度。
- 评估风险的严重性：将风险的概率和影响程度结合起来，评估每一个风险的严重性。
3. 风险评估：- 确定风险优先级：根据风险的严重性，将风险按照优先级排序，以确定应该优先处理的风险。
- 评估风险的可接受性：根据组织或者项目的风险接受标准，评估每一个风险是否可接受。
- 确定风险管理策略：根据风险的优先级和可接受性，确定适当的风险管理策略，如避免、减轻、转移或者接受风险。
4. 风险控制：- 制定风险控制计划：制定详细的计划，包括具体的控制措施、责任人和时间表。
- 实施风险控制措施：根据风险控制计划，执行相应的控制措施。
- 监控风险：定期监测风险的发生情况，确保风险控制措施的有效性。
- 跟踪和报告：跟踪和报告风险控制的发展情况，及时调整控制措施。
风险评估流程的目标是匡助组织或者项目识别和管理潜在风险，以减少不确定性和提高成功的可能性。
通过系统性的风险评估，组织或者项目可以更好地了解风险，并采取相应的措施来降低或者消除这些风险的影响。
在实施风险评估流程时，应确保信息的准确性、可靠性和保密性，以及与相关利益相关者的合作和沟通。
此外，风险评估流程应该是一个持续的过程，需要定期进行评估和更新，以确保风险管理的有效性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
风险评估实施步骤一风评准备1. 确定风险评估的目标2.确定风险评估的范围3.组建适当的评估管理与实施团队4.进行系统调研，采取问卷调查、现场询问等方式，至少包含下列内容：•业务战略及管理制度•要紧的业务功能与要求•网络结构与网络环境，包含内部链接好外部链接•系统边界•要紧的硬件、软件•数据与信息•系统与数据的敏感性•支持与使用系统的人员5.制定方案，为之后的风评实施提供一个总体计划，至少包含：•确定实施评估团队成员•工作计划及时间进度安排6.获得最高管理者对风险评估工作的支持二资产识别资产的价值是按照资产在保密性、完整性与可用性上达到的程度或者者其未达到时造成的影响程度来决定1.资产分类根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类2.资产的赋值（五个等级：可忽略、低、中等、高、极高）•保密性赋值：根据资产在保密性上的不一致要求，对应资产在保密性上应达成的不一致程度或者者密保性缺失时对整个组织的影响，划分为五个不一致的等级•完整性赋值：根据资产在完整性上的不一致要求，对应资产在完整性上缺失时对整个组织的影响，划分为五个不一致的等级•可用性赋值：根据资产在可用性上的不一致要求，对应资产在可用性上应达成的不一致程度，划分为五个不一致的等级•3.资产重要性等级（五个等级：很低、低、中、高、很高）资产价值应根据资产在机密性、完整性与可用性上的赋值等级，通过综合评定得出。
综合评定方法，能够根据组织自身的特点，选择对资产机密性、完整性与可用性最为重要的一个属性的赋值等级作为资产的最终赋值结果，也能够根据资产机密性、完整性与可用性的不一致重要程度对其赋值进行加权计算而得到资产的最终赋值。
加权方法可根据组织的业务特点确定。
三威胁识别威胁是一种对组织及其资产构成潜在破坏的可能性因素，是客观存在的。
1.威胁的分类根据威胁的来源，威胁可分为软硬件故障、物理环境威胁、无作为或者操作失误、管理不到位、恶意代码与病毒、越权或者滥用、黑客攻击技术、物理攻击、泄密、篡改、抵赖2.威胁的赋值（五个等级：很低、低、中、高、很高）推断威胁出现的频率是威胁识别的重要工作，评估者应根据经验与（或者）有关的统计数据来进行推断。
在风险评估过程中，还需要综合考虑下列三个方面，以形成在某种评估环境中各类威胁出现的频率：（1) 以往安全事件报告中出现过的威胁及其频率的统计；（2) 实际环境中通过检测工具与各类日志发现的威胁及其频率的统计；（3) 近一两年来国际组织公布的关于整个社会或者特定行业的威胁及其频率统计，与公布的威胁预警。
四脆弱性识别脆弱性是对一个或者多个资产弱点的总称。
脆弱性识别也称之弱点识别，弱点是资产本身存在的，假如没有相应的威胁发生，单纯的弱点本身不可能对资产造成损害。
而且假如系统足够强健，再严重的威胁也不可能导致安全事件，并造成缺失。
即，威胁总是要利用资产的弱点才可能造成危害。
资产的脆弱性具有隐蔽性，有些弱点只有在一定条件与环境下才能显现，这是脆弱性识别中最为困难的部分。
需要注意的是，不正确的、起不到应有作用的或者没有正确实施的安全措施本身就可能是一个弱点。
脆弱性识别将针对每一项需要保护的资产，找出可能被威胁利用的弱点，并对脆弱性的严重程度进行评估。
脆弱性识别时的数据应来自于资产的所有者、使用者，与有关业务领域的专家与软硬件方面的专业等人员。
脆弱性识别所使用的方法要紧有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。
1.脆弱性识别脆弱性识别要紧从技术与管理两个方面进行，技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。
管理脆弱性又可分为技术管理与组织管理两方面，前者与具体技术活动有关，后者与管理环境有关。
2.脆弱性赋值（五个等级：很低、低、中、高、很高）能够根据对资产损害程度、技术实现的难易程度、弱点流行程度，使用等级方式对已识别的脆弱性的严重程度进行赋值。
脆弱性由于很多弱点反映的是同一方面的问题，应综合考虑这些弱点，最终确定这一方面的脆弱性严重程度。
对某个资产，其技术脆弱性的严重程度受到组织的管理脆弱性的影响。
因此，资产的脆弱性赋值还应参考技术管理与组织管理脆弱性的严重程度。
五已有安全措施的确认组织应对已采取的安全措施的有效性进行确认，对有效的安全措施继续保持，以避免不必要的工作与费用，防止安全措施的重复实施。
关于确认为不适当的安全措施应核实是否应被取消，或者者用更合适的安全措施替代。
六风险分析1.风险计算方法安全事件发生的可能性= L(威胁出现频率，脆弱性)安全事件的缺失= F(资产重要程度，脆弱性严重程度)风险值= R(安全事件发生的可能性，安全事件的缺失)评估者可根据自身情况选择相应的风险计算方法计算风险值。
如矩阵法或者相乘法，通过构造经验函数，矩阵法可形成安全事件发生的可能性与安全事件的缺失之间的二维关系；运用相乘法能够将安全事件发生的可能性与安全事件的缺失相乘得到风险值。
2.风险结果判定（五个等级：很低、低、中、高、很高）组织应当综合考虑风险操纵成本与风险造成的影响，提出一个可同意风险阈值，七风险评估文件记录1.风险评估文件记录的要求记录风险评估过程的有关文件，应该符合下列要求（但不仅限于此）：（1）确保文件公布前是得到批准的；（2）确保文件的更换与现行修订状态是可识别的；（3）确保在使用时可获得有关版本的适用文件；（4）确保文件的分发得到适当的操纵；（5）防止作废文件的非预期使用，若因任何目的需保留作废文件时，应对这些文件进行适当的标识。
关于风险评估过程中形成的有关文件，还应规定其标识、储存、保护、检索、储存期限与处置所需的操纵。
有关文件是否需要与详略程度由管理过程来决定。
2.风险评估文件风险评估文件包含在整个风险评估过程中产生的评估过程文档与评估结果文档，包含（但不仅限于此）：（1）风险评估计划：阐述风险评估的目标、范围、团队、评估方法、评估结果的形式与实施进度等；（2）风险评估程序：明确评估的目的、职责、过程、有关的文件要求，同时准备实施评估需要的文档；（3）资产识别清单：根据组织在风险评估程序文件中所确定的资产分类方法进行资产识别，形成资产识别清单，清单中应明确各资产的责任人/部门；（4）重要资产清单：根据资产识别与赋值的结果，形成重要资产列表，包含重要资产名称、描述、类型、重要程度、责任人/部门等；（5）威胁列表：根据威胁识别与赋值的结果，形成威胁列表，包含威胁名称、种类、来源、动机及出现的频率等；（6）脆弱性列表：根据脆弱性识别与赋值的结果，形成脆弱性列表，包含脆弱性名称、描述、类型及严重程度等；（7）已有安全措施确认表：根据已采取的安全措施确认的结果，形成已有安全措施确认表，包含已有安全措施名称、类型、功能描述及实施效果等；（8）风险评估报告：对整个风险评估过程与结果进行总结，全面说明被评估对象，风险评估方法，资产、威胁、脆弱性的识别结果，风险分析、风险统计与结论等内容；（9）风险处理计划：对评估结果中不可同意的风险制定风险处理计划，选择适当的操纵目标及安全措施，明确责任、进度、资源，并通过对残余风险的评价确保所选择安全措施的有效性；（10）风险评估记录：根据组织的风险评估程序文件，记录对重要资产的风险评估过程。
评估内容重要服务器的安全配置登录安全检测；用户及口令安全检测；共享资源安全检测；系统服务安全检测；系统安全补丁检测；日志记录审计检测；木马检测。
安全设备包含防火墙、入侵检测系统、网闸、防病毒、桌面管理、审计、加密机、身份鉴别等；查看安全设备的部署情况。
查看安全设备的配置策略；查看安全的日志记录；通过漏洞扫描系统对安全进行扫描。
通过渗透性测试检安全配置的有效性。
路由器检查操作系统是否存在安全漏洞；配置方面，检测端口开放、管理员口令设置与管理、口令文件安全存储形式、访问操纵表；是否能对配置文件进行备份与导出；关键位置路由器是否有冗余配置。
物理环境包含UPS、变电设备、空调、门禁等。
交换机检查安全漏洞与补丁的升级情况，各VLAN间的访问操纵策略；口令设置与管理，口令文件的安全存储形式；配置文件的备份。
风险评估流程风险评估流程包含系统调研、资产识别、威胁识别、脆弱性识别（包含现有操纵措施确认）、风险综合分析与风险操纵计划六个阶段。
系统调研是熟悉与熟悉组织与系统的基本情况，对组织IT战略，业务目标、业务类型与业务流程与所依靠的信息系统基础架构的基本状况与安全需求等进行调研与诊断。
资产识别是对系统中涉及的重要资产进行识别，并对其等级进行评估，形成资产识别表。
资产信息至少包含：资产名称、资产类别、资产价值、资产用途、主机名、IP地址、硬件型号、操作系统类型及版本、数据库类型及版本、应用系统类型及版本等。
威胁识别是对系统中涉及的重要资产可能遇到的威胁进行识别，并对其等级进行评估，形成威胁识别表。
识别的过程要紧包含威胁源分析、历史安全事件分析、实时入侵事件分析几个方面。
脆弱性识别是对系统中涉及的重要资产可能被对应威胁利用的脆弱性进行识别，并对其等级进行评估，形成脆弱性识别表。
脆弱性识别又具体分为物理安全、网络安全、主机系统安全、应用安全、数据安全、安全管理六个方面的内容。
风险综合分析是根据对系统资产识别，威胁分析，脆弱性评估的情况及收集的数据，定性与定量地评估系统安全现状及风险状况，评价现有保障措施的运行效能及对风险的抵御程度。
结合系统的IT战略与业务连续性目标，确定系统不可同意风险范围。
风险操纵计划是针对风险评估中识别的安全风险，特别是不可同意风险，制定风险操纵与处理计划，选择有效的风险操纵措施将残余风险操纵在可同意范围内。
———————————————————————————————————————风险评估是按照ISO 27001建立信息安全管理体系的基础，是PDCA循环的策划阶段的要紧工作内容，根据风险评估结果来从ISO 17799中选择操纵目标与操纵方式。
风险评估是建立ISMS的基础，处于27001的第一个环节计划阶段（P），也为风险管理提供根据；等级保护理论上与27001没有直接关系，但是目前等保的管理安全部分借鉴了27001的操纵域部分要求，二者是能够相融合的P阶段：建立ISMS(PLAN)•定义ISMS 的范围•定义ISMS 策略•定义系统的风险评估途径•识别风险•评估风险•识别并评价风险处理措施•选择用于风险处理的操纵目标与操纵•准备适用性声明（SoA）•取得管理层对残留风险的承认，并授权实施与操作ISMS信息安全风险评估项目工序与流程一、项目启动1．双方召开项目启动会议，确定各自接口负责人。
==工作输出1．《业务安全评估有关成员列表》（包含双方人员）2．《报告蓝图》==备注1．务必请指定业务实施负责人作为项目接口与协调人；列出人员的电话号码与电子邮件帐号以备联络。