GB/T 20984-2022《信息安全技術 信息安全風險評估方法》（以下簡稱新版標準）由國家市場監(jiān)督管理總局、國家標準化管理委員會批準發(fā)布（2022年第6號中國國家標準公告），于2022年11月1日起正式實施，該標準代替GB/T 20984-2007《信息安全技術信息安全風險評估規(guī)范》（以下簡稱舊版標準），是GB/T 20984自2007年發(fā)布以來的首次修改。

一、什么是信息安全風險評估？

信息安全風險評估是指對特定威脅利用單個或一組資產(chǎn)脆弱性的可能性以及由此可能給組織帶來的損害進行識別、分析和評價的整個過程。

二、新版標準的主要內(nèi)容是什么？

新版標準描述了信息安全風險評估的基本概念、風險要素關系、風險分析原理、風險評估實施流程和評估方法，以及風險評估在信息系統(tǒng)生命周期不同階段的實施要點和工作形式。

在資產(chǎn)識別中，基于業(yè)務的范圍和邊界，分析對業(yè)務資產(chǎn)、系統(tǒng)資產(chǎn)、系統(tǒng)組件和單元資產(chǎn)進行識別與分析賦值。業(yè)務成為風險評估的最高管控對象。

在威脅識別中，從威脅的來源、主體、動機等角度出發(fā)，根據(jù)威脅的行為能力和頻率，結(jié)合威脅的不同時機進行識別和分析。

在已有安全措施分析中，將安全措施進行保護性和預防性的分類，結(jié)合威脅對已有安全措施的有效性進行分析。

在脆弱性識別中，從管理和技術兩個角度出發(fā)，對脆弱性被威脅利用的難易程度以及脆弱性被利用后對資產(chǎn)造成的損失進行分析。

在風險分析與評價中，依據(jù)風險計算模型對單個資產(chǎn)的風險進行風險值的計算與等級劃分，并按照一定的規(guī)則，從資產(chǎn)的風險現(xiàn)狀推斷出業(yè)務的風險情況。

三、新版標準的發(fā)布有什么意義？

近年來，黨和國家高度重視網(wǎng)絡安全工作，《中華人民共和國網(wǎng)絡安全法》、《中華人民共和國數(shù)據(jù)安全法》、《關鍵信息基礎設施安全保護條例》等重要法律法規(guī)相繼頒布實施，同時，伴隨著信息技術深入到生活的各個方面，網(wǎng)絡安全工作已成為國家、社會、組織中不可缺少的一部分。

為應對網(wǎng)絡安全形勢的變化，滿足法律法規(guī)的最新要求，解決舊版標準在個別場景下存在局限性的問題，新版標準應聲而來。

新版標準為網(wǎng)絡安全保護工作部門、重要行業(yè)和領域的主管部門、信息系統(tǒng)運營單位、安全服務廠商等開展信息安全風險評估工作提供參考依據(jù)，為網(wǎng)絡安全建設工作提供技術指導和效果評價方法，能極大促進網(wǎng)絡安全工作的實施。