信息安全风险评估.doc
信息安全风险评估报告
信息安全风险评估报告一、引言在当今数字化的时代，信息已成为企业和组织的重要资产。
然而，随着信息技术的飞速发展和广泛应用，信息安全面临的威胁也日益严峻。
为了保障信息系统的安全稳定运行，保护敏感信息不被泄露、篡改或破坏，对信息系统进行全面的风险评估至关重要。
本报告旨在对被评估对象名称的信息安全状况进行评估，识别潜在的安全风险，并提出相应的风险管理建议。
二、评估范围和目标（一）评估范围本次评估涵盖了被评估对象名称的信息系统，包括网络基础设施、服务器、数据库、应用程序、办公终端等。
（二）评估目标1、识别信息系统中存在的安全威胁和脆弱性。
2、评估安全威胁发生的可能性和潜在的影响。
3、确定信息系统的安全风险级别。
4、提出针对性的风险管理建议，以降低安全风险。
三、评估方法本次评估采用了多种方法，包括问卷调查、现场访谈、漏洞扫描、渗透测试等。
通过这些方法，收集了大量的信息和数据，为评估结果的准确性和可靠性提供了保障。
四、信息系统概述（一）网络拓扑结构被评估对象名称的网络拓扑结构包括内部网络、外部网络和DMZ 区。
内部网络主要用于员工办公和业务处理，外部网络用于与互联网连接，DMZ区用于部署对外提供服务的应用服务器。
（二）服务器和操作系统信息系统中使用了多种服务器，包括Web服务器、数据库服务器、邮件服务器等。
操作系统包括Windows Server、Linux等。
（三）数据库使用的数据库主要有Oracle、SQL Server等，存储了大量的业务数据和用户信息。
（四）应用程序包括自主开发的业务应用系统和第三方采购的软件，如办公自动化系统、财务管理系统等。
五、安全威胁和脆弱性分析（一）安全威胁1、网络攻击包括DDoS攻击、SQL注入攻击、跨站脚本攻击等，可能导致服务中断、数据泄露等问题。
2、恶意软件如病毒、木马、蠕虫等，可能窃取敏感信息、破坏系统文件。
3、内部人员威胁内部人员可能因疏忽、恶意或被收买而泄露敏感信息、破坏系统。
信息安全风险评估表
信息安全风险评估表
精心整理
表1：基本信息调查
1.硬件资产情况
1.1.网络设备情况
网络设备名称、型号、物理位置、所属网络区域、IP地
址/掩码/网关、系统软件及版本、端口类型及数量、主要用途、是否热备、重要程度。
1.2.安全设备情况
安全设备名称、型号、软件/硬件位置、所属网络区域、
IP地址/掩码/网关、操作系统版本/补丁、安装应用系统软件名称、主要业务应用、涉及数据、是否热备。
1.3.服务器设备情况
服务器设备型号、物理位置。
1.4.终端设备情况
终端设备名称、型号、物理位置、所属网络、设备数量、IP地址/掩码/网关、操作系统版本。
2.软件资产情况
2.1.系统软件情况
系统软件名称、版本、开发商、软件厂商、硬件/软件平台、C/S或B/S模式、B/S硬件平台、涉及数据、涉及应用系统、现有用户数量、主要用户角色。
2.2.应用软件情况
应用系统软件名称、涉及数据。
3.文档资产情况
3.1.信息系统安全文档列表
信息系统文档类别、文档名称。
4.信息系统情况
4.1、系统网络拓扑图
网络结构图要求：标识网络设备、服务器设备和主要终端设备及其名称；标识服务器设备的IP地址；标识网络区域划分等情况。
信息安全风险评估三级
信息安全风险评估三级
（原创版）
目录
一、信息安全风险评估概述
二、信息安全风险评估的三个级别
三、一级信息安全风险评估
四、二级信息安全风险评估
五、三级信息安全风险评估
六、总结
正文
信息安全风险评估是信息安全管理的重要组成部分，通过对信息系统的脆弱性、威胁和风险进行评估，以确定信息系统的安全性。
信息安全风险评估分为三个级别，分别为一级、二级和三级。
一级信息安全风险评估主要针对基本的信息系统，评估范围相对较小，主要关注系统的可用性和完整性。
这一级别的评估主要通过问卷调查、检查表和现场考察等方式进行，以了解信息系统的基本情况，发现潜在的安全风险。
二级信息安全风险评估针对的是较为复杂的信息系统，评估范围相对较广，关注系统的可用性、完整性和保密性。
这一级别的评估需要对信息系统的各个方面进行深入分析，以识别系统的弱点和潜在威胁，为制定安全策略提供依据。
三级信息安全风险评估则是针对关键信息系统和涉及国家安全的信
息系统进行的评估。
这一级别的评估具有更高的要求和标准，需要对信息系统的各个方面进行全面、深入的分析，以确保信息系统的安全性。
三级评估涉及的方面包括系统的可用性、完整性、保密性和抗干扰能力等。
总之，信息安全风险评估是信息安全管理的重要手段，通过对信息系统的脆弱性、威胁和风险进行评估，以确保信息系统的安全性。
信息安全风险评估分为三个级别，分别为一级、二级和三级，不同级别的评估具有不同的要求和目标。
信息安全风险评估方案报告.doc
信息安全风险评估方案报告1 附件：国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式项目名称：项目建设单位：风险评估单位：年月日目录一、风险评估项目概述(1)1.1工程项目概况(1)1.1.1 建设项目基本信息(1)1.1.2 建设单位基本信息(1)1.1.3承建单位基本信息(2)1.2风险评估实施单位基本情况(2)二、风险评估活动概述(2)2.1风险评估工作组织管理(2)2.2风险评估工作过程(3)2.3依据的技术标准及相关法规文件(3)2.4保障与限制条件(3)三、评估对象(3)3.1评估对象构成与定级(3)3.1.1 网络结构(3)3.1.2 业务应用(3)3.1.3 子系统构成及定级(4)3.2评估对象等级保护措施(4)3.2.1XX子系统的等级保护措施(4)3.2.2子系统N的等级保护措施(4)四、资产识别与分析(5)4.1资产类型与赋值(5)4.1.1资产类型(5)4.1.2资产赋值(5)4.2关键资产说明(5)五、威胁识别与分析(6)5.2威胁描述与分析(6)5.2.1 威胁源分析(6)5.2.2 威胁行为分析(6)5.2.3 威胁能量分析(6)5.3威胁赋值(6)六、脆弱性识别与分析(7)6.1常规脆弱性描述(7)6.1.1 管理脆弱性(7)6.1.2 网络脆弱性(7)6.1.3系统脆弱性(7)6.1.4应用脆弱性(7)6.1.5数据处理和存储脆弱性(8) 6.1.6运行维护脆弱性(8)6.1.7灾备与应急响应脆弱性(8) 6.1.8物理脆弱性(8)6.2脆弱性专项检测(8)6.2.1木马病毒专项检查(8)6.2.2渗透与攻击性专项测试(8)6.2.3关键设备安全性专项测试(8)6.2.4设备采购和维保服务专项检测(8) 6.2.5其他专项检测(8)6.2.6安全保护效果综合验证(8)6.3脆弱性综合列表(8)七、风险分析(9)7.1关键资产的风险计算结果(9)7.2关键资产的风险等级(9)7.2.1 风险等级列表(9)7.2.3 基于脆弱性的风险排名(10)7.2.4 风险结果分析(10)八、综合分析与评价(10)九、整改意见(10)附件1：管理措施表(11)附件2：技术措施表(12)附件3：资产类型与赋值表(15)附件4：威胁赋值表(15)附件5：脆弱性分析赋值表(16)。
信息安全风险评估报告【Word版】
4
5.1 威胁数据采集 ......................................... 5 5.2 威胁描述与分析 ........................................ 5 5.2.1 威胁源分析 .............................................................................................. 5 5.2.2 威胁行为分析 .......................................................................................... 5 5.2.3 威胁能量分析 .......................................................................................... 5 5.3 威胁赋值 ............................................. 5 六、脆弱性识别与分析
第 2 页 共 20 页
4
4.1 资产类型与赋值 ........................................ 4 4.1.1 资产类型 .................................................................................................... 4 4.1.2 资产赋值 .................................................................................................... 4 4.2 关键资产说明 ......................................... 4 五、威胁识别与分析 ......................................
信息安全风险评估报告
信息安全风险评估报告一、引言信息安全风险评估是企业信息安全管理的重要环节，通过对信息系统、数据和业务流程的风险进行全面评估，可以帮助企业识别和理解潜在的安全威胁，从而制定相应的安全措施和应对策略，保障信息资产的安全和可靠性。
本报告旨在对某企业的信息安全风险进行评估，全面了解其信息系统和数据的安全状况，为企业提供有效的安全建议和改进建议。
二、背景介绍某企业是一家以互联网为核心业务的企业，主要业务包括电子商务、在线支付、数据存储和处理等。
由于业务的特殊性，企业信息系统中包含大量的用户个人信息、交易数据和商业机密，一旦泄露或遭受攻击，将会对企业造成严重的损失。
因此，对企业的信息安全风险进行评估显得尤为重要。
三、信息安全风险评估方法本次评估采用了常见的信息安全风险评估方法，主要包括风险识别、风险分析、风险评估和风险控制四个步骤。
1. 风险识别通过对企业信息系统和数据进行全面的调查和分析，识别潜在的安全威胁和风险点，包括网络攻击、数据泄露、系统故障等。
2. 风险分析对识别出的安全威胁和风险点进行分析，确定其可能造成的影响和可能性，包括数据损失、服务中断、商誉损失等。
3. 风险评估综合考虑风险的影响和可能性，对各项风险进行评估，确定其优先级和紧急程度，为后续的风险控制提供依据。
4. 风险控制针对评估出的重要风险，制定相应的风险控制措施和应对策略，包括技术控制、管理控制和应急预案等。
四、信息安全风险评估结果经过以上的评估方法，得出了以下的信息安全风险评估结果：1. 网络攻击风险企业网络面临来自互联网的各种攻击风险，包括DDoS攻击、SQL注入、恶意软件等。
这些攻击可能导致企业网络服务中断、用户数据泄露等严重后果。
2. 数据泄露风险企业存储了大量的用户个人信息和交易数据，一旦遭受攻击或内部泄露，将会对用户和企业造成严重的损失。
3. 内部恶意操作风险企业员工对系统和数据的访问权限较高，存在内部恶意操作的风险，可能导致数据篡改、泄露等问题。
信息安全风险评估方案DOC
信息安全风险评估方案DOC一、引言信息安全是当前各行各业都面临的重要问题，通过对信息安全风险进行评估可以有效地识别和评价可能导致系统和数据受到损害的风险因素，进而采取相应的预防和应对措施，保护信息系统和数据的安全。
本文将介绍一个信息安全风险评估方案，该方案主要包含四个步骤，包括风险识别、风险分析、风险评估和风险处理，以帮助组织有效地管理信息安全风险。
二、方案内容1.风险识别风险识别是评估信息安全风险的第一步，主要目的是识别可能导致系统和数据受到损害的风险因素。
该步骤可以通过对组织内部和外部环境进行分析，了解潜在的威胁和漏洞来进行。
具体的操作包括：-内部环境分析：分析组织内部系统、网络和数据的安全状况，识别可能存在的风险因素，例如人员疏忽、技术缺陷、不当的权限分配等。
-外部环境分析：分析组织外部的威胁和漏洞，例如网络攻击、恶意软件、社会工程等。
可以参考已知的安全漏洞和事件来分析可能的风险因素。
2.风险分析风险分析是对已经识别出来的风险因素进行分析，确定它们对组织的危害程度和潜在损失的可能性。
该步骤可以通过定量和定性的方法来分析风险，具体的操作包括：-定性分析：根据已经识别出来的风险因素，通过专家判断和经验来评估其危害程度，例如利用风险评估矩阵进行分析。
-定量分析：对可能的损失进行估计和量化，例如使用统计数据和模型进行风险分析，计算潜在的经济损失以及可能导致的业务中断时间等。
3.风险评估风险评估是在风险识别和风险分析的基础上，对风险进行评估和排序，确定优先处理的风险。
该步骤可以通过以下方式进行：-风险评估矩阵：根据风险的危害程度和潜在损失的可能性，进行风险的排序和评估。
-风险等级划分：根据风险的评估结果，将风险分为高、中、低三个等级，以确定处理的优先级。
4.风险处理风险处理是根据风险的评估结果，采取相应的措施来降低风险的发生概率和影响程度。
-风险避免：通过防范措施和强化安全策略，避免风险的发生。
-风险转移：将部分风险通过购买保险等方式转移给第三方。
信息安全风险评估报告模板
信息安全风险评估报告模板一、引言信息安全风险评估是为了评估组织内部或外部威胁对信息系统和数据的潜在风险，并提供相应的安全建议和措施。
本报告旨在对XXX公司进行信息安全风险评估，并提供详细的评估结果和建议。
二、评估目的本次评估的目的是为了识别和评估XXX公司信息系统和数据所面临的潜在风险，并提供相应的风险管理建议。
通过评估，帮助XXX公司制定有效的信息安全策略和措施，保护公司的信息资产。
三、评估范围本次评估主要涵盖XXX公司的信息系统和数据，包括但不限于网络设备、服务器、数据库、应用程序、网络通信等。
评估过程中，我们将对系统的安全性、漏洞、风险控制措施等进行全面的分析和评估。
四、评估方法本次评估采用综合的方法，包括但不限于以下几个方面：1. 安全漏洞扫描：通过使用专业的漏洞扫描工具对系统进行扫描，识别系统中存在的安全漏洞。
2. 渗透测试：通过模拟黑客攻击的方式，测试系统的安全性，发现系统的弱点和潜在的攻击路径。
3. 安全策略和控制措施评估：对XXX公司的安全策略和控制措施进行评估，包括访问控制、身份认证、加密等方面。
4. 数据风险评估：对公司的数据进行风险评估，包括数据的保密性、完整性和可用性等方面。
五、评估结果1. 安全漏洞评估结果：在安全漏洞扫描中，我们发现了一些安全漏洞，包括未及时更新补丁、弱密码、未授权访问等。
这些漏洞可能导致系统被攻击或数据泄露的风险。
2. 渗透测试结果：在渗透测试中，我们成功模拟了黑客攻击，并获取了一些敏感信息。
这表明系统存在严重的安全风险，需要立即采取措施加以修复。
3. 安全策略和控制措施评估结果：我们评估了XXX公司的安全策略和控制措施，发现了一些不足之处，比如缺乏强制密码策略、缺乏多因素身份认证等。
这些不足之处可能导致系统被未授权访问或数据被篡改的风险。
4. 数据风险评估结果：我们评估了公司的数据风险，发现数据的保密性和完整性存在一定的风险。
数据的备份和恢复策略也需要进一步改进。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
***软件有限公司信息安全风险评估指南变更记录信息安全风险评估指南1、本指南在编制过程中主要依据了国家政策法规、技术标准、规范与管理要求、行业标准并得到了无锡新世纪信息科技有限公司的大力支持。
1.1政策法规：✧《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）✧《国家网络与信息安全协调小组关于开展信息安全风险评估工作的意见》（国信办[2006]5号）1.2国际标准：✧ISO/IEC 17799：2005《信息安全管理实施指南》✧ISO/IEC 27001：2005《信息安全管理体系要求》✧ISO/IEC TR 13335《信息技术安全管理指南》1.3国内标准：✧《信息安全风险评估指南》（国信办综[2006]9号）✧《重要信息系统灾难恢复指南》（国务院信息化工作办公室2005年4月）✧GB 17859—1999《计算机信息系统安全保护等级划分准则》✧GB/T 18336 1-3：2001《信息技术安全性评估准则》✧GB/T 5271.8--2001 《信息技术词汇第8部分：安全》✧GB/T 19715.1—2005 《信息技术安全管理指南第1部分：信息技术安全概念和模型》✧GB/T 19716—2005 《信息安全管理实用规则》1.4其它✧《信息安全风险评估方法与应用》（国家863高技术研究发展计划资助项目(2004AA147070)）2、风险评估2.1、风险评估要素关系模型风险评估的出发点是对与风险有关的各因素的确认和分析。
下图中方框部分的内容为风险评估的基本要素，椭圆部分的内容是与这些要素相关的属性，也是风险评估要素的一部分。
风险评估的工作是围绕其基本要素展开的，在对这些要素的评估过程中需要充分考虑业务战略、资产价值、安全事件、残余风险等与这些基本要素相关的各类因素。
如下模型表示了各因素的关系：A1A2风险评估要素关系模型图中这些要素之间存在着以下关系：业务战略依赖于资产去完成；资产拥有价值，单位的业务战略越重要，对资产的依赖度越高，资产的价值则就越大；资产的价值越大则风险越大；风险是由威胁发起的，威胁越大则风险越大，并可能演变成安全事件；威胁都要利用脆弱性，脆弱性越大则风险越大；脆弱性使资产暴露，是未被满足的安全需求，威胁要通过利用脆弱性来危害资产，从而形成风险；资产的重要性和对风险的意识会导出安全需求;安全需求要通过安全措施来得以满足，且是有成本的；安全措施可以抗击威胁，降低风险，减弱安全事件的影响；风险不可能也没有必要降为零，在实施了安全措施后还会有残留下来的风险，—部分残余风险来自于安全措施可能不当或无效，在以后需要继续控制这部分风险，另一部分残余风险则是在综合考虑了安全的成本与资产价值后，有意未去控制的风险，这部分风险是可以被接受的；残余风险应受到密切监视，因为它可能会在将来诱发新的安全事件。
2.2风险计算模型风险计算模型是对通过风险分析计算风险值的过程的抽象，它主要包括资产评估、威胁评估、脆弱性评估以及风险分析。
风险计算模型如下图所示：风险计算模型示意图风险计算模型中包含：资产、威胁、脆弱性等基本要素。
每个要素有各自的属性，资产的属性是资产价值；威胁的属性可以是威胁主体、影响对象、发生的可能性、动机等；脆弱性的属性是脆弱性被威胁利用后对资产带来的影响的严重程度。
2.3风险计算的过程如下：对资产进行识别，并对资产的价值进行赋值；对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；对资产的脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；根据威胁及威胁利用弱点的难易程度判断安全事件发生的可能性；根据脆弱性的严重程度及安全事件所作用资产的价值计算安全事件的损失；根据安全事件发生的可能性以及安全事件的损失，计算安全事件一旦发生对组织的影响，即风险值。
3风险评估实施过程根据风险评估要素关系模型，进行风险评估需要分析评价各要素，按照各要素关系，风险评估的过程主要包括：风险评估的准备，即信息收集与整理、对资产、威胁、脆弱性的分析、已有采取安全措施的确认以及风险评价等环节，风险评估实施过程可用下图表示：风险评估实施流程（见下页）以下对风险评估过程中包括的具体步骤进行详细描述：3.1风险评估的准备风险评估的准备过程是整个风险评估过程有效的保证和基础。
组织实施风险评估是一种战略性的考虑，其结果将受到组织业务战略、业务流程、安全需求、系统规模和结构等方面的影响。
风险评估流程框图3.2资产价值3.2.1资产分类在一般的风险评估体中，资产大多属于不同的信息系统，如OA系统，网管系统，业务生产系统等，而且对于提供多种业务的机构，业务生产系统的数量还可能会很多。
这时首先需要将信息系统及其中的信息资产进行恰当的分类，才能在此基础上进行下一步的风险评估工作。
在实际项目中，具体的资产分类方法可以根据具体环境，由评估者来灵活把握。
根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类型，表3.2为一个资产分类示例。
表3.2资产种类资产识别方式及阶段成果：在资产识别过程中，本公司信息安全管理委员会可以通过问卷调查、人员问询的方式识别每一项资产，在本阶段结束后本公司信息安全管理委员会将向信息系统所有者提供《资产识别清单》，清单中应明确各资产的负责人/部门，并由信息系统所有者进行书面确认。
3.2.2资产赋值本指南所指资产赋值是对资产安全价值的估价，而不是以资产的账面价格来衡量的。
在对资产进行估价时，不仅要考虑资产的成本价格，更重要的是考虑资产对于组织业务的安全重要性，即根据资产损失所引发的潜在的商务影响来决定。
为确保资产估价时的一致性和准确性，本公司信息安全管理委员会应按照上述原则，建立一个资产价值尺度（资产评估标准），以明确如何对资产进行赋值。
资产估价的过程也就是对资产机密性、完整性和可用性影响分析的过程。
影响就是由人为或突发性引起的安全事件对资产破坏的后果。
这一后果可能毁灭某些资产，危及信息系统并使其丧失机密性、完整性和可用性，最终还会导致财产损失、市场份额或公司形象的损失。
特别重要的是，即使每一次影响引起的损失并不大，但长期积累的众多意外事件的影响总和则可造成严重损失。
一般情况下，影响主要从以下几方面来考虑：违反了有关法律或（和）规章制度影响了业务执行造成了信誉、声誉损失侵犯了个人隐私造成了人身伤害对法律实施造成了负面影响侵犯了商业机密违反了社会公共准则造成了经济损失破坏了业务活动危害了公共安全资产安全属性的不同通常也意味着安全控制、保护功能需求的不同。
风险评估小组应当通过考察三种不同安全属性，能够基本反映资产的价值。
机密性赋值根据资产机密性属性的不同，将它分为5个不同的等级，分别对应资产在机密性方面的价值或者在机密性方面受到损失时对整个评估的影响。
表3.3资产机密性赋值完整性赋值根据资产完整性属性的不同，将它分为5个不同的等级，分别对应资产在完整性方面的价值或者在完整性方面受到损失时对整个评估的影响。
表3.4资产完整性赋值资产可用性赋值根据资产可用性属性的不同，将它分为5个不同的等级，分别对应资产在可用性方面的价值或者在可用性方面受到损失时对整个评估系统的影响。
表3.5资产可用性赋值3.2.3资产重要性等级最终资产价值可以通过违反资产的机密性、完整性和可用性三个方面的程度综合确定，资产的赋值采用定性的相对等级的方式。
与以上安全属性的等级相对应，资产价值的等级可分为五级，从1到5由低到高分别代表五个级别的资产相对价值，等级越大，资产越重要。
由于资产最终价值的等级评估是依据资产机密性、完整性、可用性的赋值级别经过综合评定得出的，本标准的评定准则选择“最高的属性级别”为综合资产赋值准则的方法。
当然，风险评估小组也可以根据被评估系统的实际情况自定义资产的等级，但该评定方法必须在事先得到信息系统所有者认可。
表3.6 资产重要性等级划分表阶段成果：风险评估小组确定在信息安全方面对组织业务发展（考虑相关方要求）起到关键作用的资产，根据本规则，对资产的机密性、完整性、可用性进行赋值与计算，并根据资产赋值结果得出《重要资产清单》，该清单一般应包括重要资产名称、描述、类型、重要程度、责任人/部门，应根据预先制定的规则，对资产的机密性、完整性、可用性进行赋值与计算。
在本阶段结束时应由本公司信息安全管理委员会向信息系统所有者提供《重要资产清单》，并由信息系统所有者进行书面确认，然后主要围绕重要资产展开以下实施步骤。
资产识别阶段小结如表3.7所示：表3.7资产识别阶段小结3.3威胁识别安全威胁是一种对组织及其资产构成潜在破坏的可能性因素或者事件。
无论对于多么安全的信息系统，安全威胁是一个客观存在的事物，它是风险评估的重要因素之一。
产生安全威胁的主要因素可以分为人为因素和环境因素。
人为因素又可区分为恶意和非恶意两种。
环境因素包括自然界的不可抗的因素和其它物理因素。
威胁作用形式可以是对信息系统直接或间接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害。
也可能是偶发的、或蓄意的事件。
一般来说，威胁总是要利用网络、系统、应用或数据的弱点才可能成功地对资产造成伤害。
安全事件及其后果是分析威胁的重要依据。
但是有相当一部分威胁发生时，由于未能造成后果，或者没有意识到，而被安全管理人员忽略。
这将导致对安全威胁的认识出现偏差。
在威胁识别过程中，本公司信息安全管理委员会通过问卷调查、人员问询的方式对信息系统所有者需要保护的每一项关键资产进行威胁识别，并根据资产所处的环境条件和资产以前遭受威胁损害的情况来判断威胁的程度。
一项资产可能面临着多个威胁，同样一个威胁可能对不同的资产造成影响。
3.3.1威胁分类分析存在哪些威胁种类，首先要考虑威胁的来源，信息系统的安全威胁来源可参考如下表。
表3.8威胁来源列表对安全威胁进行分类的方式有多种多样，针对上表威胁来源，可以将威胁分为以下种类。
表3.9：威胁种类列表3.3.2威胁赋值评估确定威胁发生的可能性是威胁评估阶段的重要工作，评估者采用经验法判断法，参考有关的统计数据来判断威胁发生的频率或者发生的概率。
其中，威胁发生的可能性受以下因素影响：资产的吸引力；资产转化成报酬的难易程度；威胁的技术力量；脆弱性被利用的难易程度。
操作过程中，威胁的可能性赋值，除了考虑上面几个因素，还需要参考下面三方面的资料和信息来源，如这些资料或者信息能够提供具体数值的，则这些数值就是在特定评估环境中各种威胁发生的可能性。
通过过去的安全事件报告或记录，统计各种发生过的威胁和其发生频率；在评估体实际环境中，通过IDS（Intrusion Detection Systems，入侵检测系统）获取的威胁发生数据的统计和分析，各种日志中威胁发生的数据的统计和分析；过去一年或两年来国际机构发布的对于整个社会或特定行业安全威胁发生频率的统计数据均值。