1、第七章 信息安全風險評估的基本過程信息安全風險評估的基本過程 信息安全風險評估是對信息在產生、存儲、傳輸等過程中其機密性、完整性、可用性遭到破壞的可能性及由此產生的后果所做的估計或估價，是組織確定信息安全需求的過程。 7.1 信息安全風險評風險評估的過過程 依據GB/T 209842007信息安全技術 信息安全風險評估規范，同時參照ISO/IEC TR 13335-3、NIST SP800-30等標準，風險評估過程都會涉及到以下階段：識別要評估的資產，確定資產的威脅、脆弱點及相關問題，評價風險，推薦對策。 信息安全風險評估完整的過程如圖7-1所示 7.2 評評估準備備 信息安全風險評估的準備，

2、是實施風險評估的前提。為了保證評估過程的可控性以及評估結果的客觀性，在信息安全風險評估實施前應進行充分的準備和計劃，信息安全風險評估的準備活動包括： 確定信息安全風險評估的目標； 確定信息安全風險評估的范圍； 組建適當的評估管理與實施團隊； 進行系統調研； 確定信息安全風險評估依據和方法； 制定信息安全風險評估方案； 獲得最高管理者對信息安全風險評估工作的支持。7.2.1 確定信息安全風險評風險評估的目標標 在信息安全風險評估準備階段應明確風險評估在信息安全風險評估準備階段應明確風險評估的目標，為信息安全風險評估的過程提供導向。信息的目標，為信息安全風險評估的過程提供導向。信息安全需求是一個組

3、織為保證其業務正常、有效運轉而安全需求是一個組織為保證其業務正常、有效運轉而必須達到的信息安全要求，通過分析組織必須符合的必須達到的信息安全要求，通過分析組織必須符合的相關法律法規、組織在業務流程中對信息安全等的保相關法律法規、組織在業務流程中對信息安全等的保密性、完整性、可用性等方面的需求，來確定信息安密性、完整性、可用性等方面的需求，來確定信息安全風險評估的目標。全風險評估的目標。7.2.2 確定信息安全風險評風險評估的范圍圍 既定的信息安全風險評估可能只針對組織全部既定的信息安全風險評估可能只針對組織全部資產的一個子集，評估范圍必須明確。資產的一個子集，評估范圍必須明確。 描述范圍最重要

4、的是對于評估邊界的描述。評描述范圍最重要的是對于評估邊界的描述。評估的范圍可能是單個系統或者是多個關聯的系統。估的范圍可能是單個系統或者是多個關聯的系統。 比較好的方法是按照物理邊界和邏輯邊界來描比較好的方法是按照物理邊界和邏輯邊界來描述某次風險評估的范圍。述某次風險評估的范圍。7.2.3 組組建適當當的評評估管理與實與實施團隊團隊 在評估的準備階段，評估組織應成立專門的評在評估的準備階段，評估組織應成立專門的評估團隊，具體執行組織的信息安全風險評估。團隊成估團隊，具體執行組織的信息安全風險評估。團隊成員應包括評估單位領導、信息安全風險評估專家、技員應包括評估單位領導、信息安全風險評估專家、技

5、術專家，還應該包括管理層、業務部門、人力資源、術專家，還應該包括管理層、業務部門、人力資源、IT系統和來自用戶的代表。系統和來自用戶的代表。7.2.4 進進行系統調研統調研 系統調研是確定被評估對象的過程。風險評估團隊應進系統調研是確定被評估對象的過程。風險評估團隊應進行充分的系統調研，為信息安全風險評估依據和方法的選擇、行充分的系統調研，為信息安全風險評估依據和方法的選擇、評估內容的實施奠定基礎。調研內容至少應包括：評估內容的實施奠定基礎。調研內容至少應包括： 業務戰略及管理制度；業務戰略及管理制度； 主要的業務功能和要求；主要的業務功能和要求； 網絡結構與網絡環境，包括內部連接和外部連接；

6、網絡結構與網絡環境，包括內部連接和外部連接； 系統邊界；系統邊界； 主要的硬件、軟件；主要的硬件、軟件； 數據和信息；數據和信息； 系統和數據的敏感性；系統和數據的敏感性； 支持和使用系統的人員。支持和使用系統的人員。7.2.5 確定信息安全風險評風險評估依據和方法 信息安全風險評估依據包括現有國際或國家有信息安全風險評估依據包括現有國際或國家有關信息安全標準、組織的行業主管機關的業務系統的關信息安全標準、組織的行業主管機關的業務系統的要求和制度、組織的信息系統互聯單位的安全要求、要求和制度、組織的信息系統互聯單位的安全要求、組織的信息系統本身的實時性或性能要求等。組織的信息系統本身的實時性或

7、性能要求等。 根據信息安全評估風險依據，并綜合考慮信息根據信息安全評估風險依據，并綜合考慮信息安全風險評估的目的、范圍、時間、效果、評估人員安全風險評估的目的、范圍、時間、效果、評估人員素質等因素，選擇具體的風險計算方法，并依據組織素質等因素，選擇具體的風險計算方法，并依據組織業務實施對系統安全運行的需求，確定相關的評估判業務實施對系統安全運行的需求，確定相關的評估判斷依據，使之能夠與組織環境和安全要求相適應。斷依據，使之能夠與組織環境和安全要求相適應。7.2.6 制定信息安全風險評風險評估方案 信息安全風險評估方案的內容一般包括：信息安全風險評估方案的內容一般包括： 團隊組織：包括評估團隊成

8、員、組織結構、角色、團隊組織：包括評估團隊成員、組織結構、角色、 責任等內容。責任等內容。 工作計劃：信息安全風險評估各階段的工作計工作計劃：信息安全風險評估各階段的工作計 劃，包括工作內容、工作形式、工作成果等內容。劃，包括工作內容、工作形式、工作成果等內容。 時間進度安排：項目實施的時間進度安排。時間進度安排：項目實施的時間進度安排。 7.2.7 獲獲得最高管理者對對信息安全風險評風險評估工作的支持 信息安全風險評估需要相關的財力和人力的支信息安全風險評估需要相關的財力和人力的支持，管理層必須以明示的方式表明對評估活動的支持，持，管理層必須以明示的方式表明對評估活動的支持，對資源調配作出承

9、諾，并對信息安全風險評估小組賦對資源調配作出承諾，并對信息安全風險評估小組賦予足夠的權利，信息安全風險評估活動才能順利進行。予足夠的權利，信息安全風險評估活動才能順利進行。7.3 識別并評識別并評價資產資產7.3.1 識別資產識別資產 在信息安全風險評風險評估的過過程中，應清應清晰地識別識別其所有的資產資產，不能遺遺漏，劃劃入風險評風險評估范圍圍和邊邊界內內的每一項資產項資產都應該應該被確認認和評評估。 資產識別活動中，可能會用到工具有以下幾種。資產識別活動中，可能會用到工具有以下幾種。 1資產資產管理工具 2主動動探測測工具 3手工記錄記錄表格7.3.2 資產資產分類類 資產的分類并沒有嚴格

10、的標準，在實際工作中，資產的分類并沒有嚴格的標準，在實際工作中，具體的資產分類方法可以根據具體的評估對象和要求，具體的資產分類方法可以根據具體的評估對象和要求，由評估者靈活把握，表由評估者靈活把握，表7-2列出了一種根據資產的表列出了一種根據資產的表現形式的資產分類方法。現形式的資產分類方法。分類示例數據保存在信息媒介上的各種數據資料，包括源代碼、數據庫數據、系統文檔、運行管理規程、計劃、報告、用戶手冊、各類紙質的文檔等軟件系統軟件：操作系統、數據庫管理系統、語言包、開發系統等應用軟件：辦公軟件、數據庫軟件、各類工具軟件等源程序：各種共享源代碼、自行或合作開發的各種代碼等硬件網絡設備：路由器、

11、網關、交換機等計算機設備：大型機、小型機、服務器、工作站、臺式計算機、便攜式算機等存儲設備：磁帶機、磁盤陣列、磁帶、光盤、軟盤、移動硬盤等傳輸線路：光纖、雙絞線等保障設備：UPS、變電設備、空調、保險柜、文件柜、門禁、消防設施等安全設備：防火墻、入侵檢測系統、身份鑒別等其他：打印機、復印機、掃描儀、傳真機等服務信息服務：對外依賴該系統開展的各類服務網絡服務：各種網絡設備、設施提供的網絡連接服務辦公服務：為提高效率而開發的管理信息系統，包括各種內部配置管理、文件流轉管理等服務人員掌握重要信息和核心業務的人員，如主機維護主管、網絡維護主管及應用項目經理等其它企業形象，客戶關系等表7-2 一種基于表

12、現形式的資產分類方法7.3.3.1 定性分析 定性風險評估一般將資產按其對于業務的重要性進行賦值，結果是資產的重要度列表。資產的重要度一般定義為“高”、“中”、“低”等級別，或直接用數字13表示。組織可以按照自己的實際情況選擇3個級別、5個級別等，表7-3給出了5級分法的資產重要性等級劃分表。 等級標識定義5很高非常重要，其安全屬性破壞后可能對組織造成非常嚴重的損失4高重要，其安全屬性破壞后可能對組織造成比較嚴重的損失3中比較重要，其安全屬性破壞后可能對組織造成中等程度的損失2低不太重要，其安全屬性破壞后可能對組織造成較低的損失1很低不重要，其安全屬性破壞后對組織造成很小的損失，甚至忽略不計表

13、7-3 資產等級及含義描述 信息安全風險評估中資產的價值不是以資產的經濟價值來衡量，而是以資產的保密性、完整性和可用性三個安全屬性為基礎進行衡量。資產在保密性、完整性和可用性三個屬性上的要求不同，則資產的最終價值也不同，表7-4、表7-5、表7-6分別給出了資產的保密性、完整性和可用性的賦值表。 賦值標識定義5很高包含組織最重要的秘密，關系未來發展的前途命運，對組織的根本利益有著決定性的影響，如果泄漏會造成災難性的損害 4高包含組織的重要秘密，其泄露會使組織的安全和利益遭受嚴重損害3中等包含組織的一般性秘密，其泄露會使組織的安全和利益受到損害2低僅能在組織內部或在組織某一部門內部公開的信息，向

14、外擴散有可能對組織的利益造成損害1很低可對社會公開的信息，公用的信息處理設備和系統資源等表7-4 資產保密性賦值表賦值標識定義5很高完整性價值非常關鍵，未經授權的修改或破壞會對組織造成重大的或無法接受的影響，對業務沖擊重大，并可能造成嚴重的業務中斷，難以彌補4高完整性價值較高，未經授權的修改或破壞會對組織造成重大影響，對業務沖擊嚴重，較難彌補3中等完整性價值中等，未經授權的修改或破壞會對組織造成影響，對業務沖擊明顯，但可以彌補2低完整性價值較低，未經授權的修改或破壞會對組織造成輕微影響，可以忍受，對業務沖擊輕微，容易彌補1很低完整性價值非常低，未經授權的修改或破壞對組織造成的影響可以忽略，對業

15、務沖擊可以忽略表7-5 資產完整性賦值表 賦值標識定義5很高可用性價值非常高，合法使用者對信息及信息系統的可用度達到年度99.9%以上，或系統不允許中斷4高可用性價值較高，合法使用者對信息及信息系統的可用度達到每天90%以上，或系統允許中斷時間小于10min3中等可用性價值中等，合法使用者對信息及信息系統的可用度在正常工作時間達到70%以上，或系統允許中斷時間小于30min2低可用性價值較低，合法使用者對信息及信息系統的可用度在正常工作時間達到25%以上，或系統允許中斷時間小于60min1很低可用性價值可以忽略，合法使用者對信息及信息系統的可用度在正常工作時間低于25%表7-6 資產可用性賦值

16、表7.3.3.2 定量分析 定量風險評估對資產進行賦值，應該確定資產的貨幣價定量風險評估對資產進行賦值，應該確定資產的貨幣價值，但這個價值并不是資產的購置價值或帳面價值，而是相值，但這個價值并不是資產的購置價值或帳面價值，而是相對價值。在定義相對價值時，需要考慮：對價值。在定義相對價值時，需要考慮： 1信息資產因為受損而對商務造成的直接損失；信息資產因為受損而對商務造成的直接損失； 2信息資產恢復到正常狀態所付出的代價，包括檢測、控制、信息資產恢復到正常狀態所付出的代價，包括檢測、控制、修復時的人力和物力；修復時的人力和物力； 3信息資產受損對其他部門的業務造成的影響；信息資產受損對其他部門的

17、業務造成的影響； 4組織在公眾形象和名譽上的損失；組織在公眾形象和名譽上的損失； 5因為商務受損導致競爭優勢降級而引發的間接損失；因為商務受損導致競爭優勢降級而引發的間接損失； 6其他損損失，例如保險費險費用的增加。 7.3.4 輸輸出結結果 在資產劃分的基礎上，再進行資產的統計、匯總，形成完備的資產及評價報告。7.4 識別并評識別并評估威脅脅7.4.1 威脅識別脅識別 識別并評價資產后，組織應該識別每項（類）資產可能面臨的威脅，識別威脅時，應該根據資產目前所處的環境條件和以前的記錄情況來判斷。一項資產可能面臨多個威脅，一個威脅也可能對不同的資產造成影響。威脅識別活動中，可能會用到工具有以下幾

18、種： 1IDS采樣樣分析 2日志分析 3人員訪談員訪談 7.4.2 威脅脅分類類 在對威脅進行分類前，首先要考慮威脅的來源。 表7-8 威脅來源列表 來源描述環境因素斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、洪災、火災、地震、意外事故等環境危害或自然災害，以及軟件、硬件、數據、通訊線路等方面的故障人為因素惡意人員不滿的或有預謀的內部人員對信息系統進行惡意破壞；采用自主或內外勾結的方式盜竊機密信息或進行篡改，獲取利益；外部人員利用信息系統的脆弱性，對網絡或系統的保密性、完整性和可用性進行破壞，以獲取利益或炫耀能力非惡意人員內部人員由于缺乏責任心，或者由于不關心和不專注，或者沒有遵循規章制

19、度和操作流程而導致故障或信息損壞；內部人員由于缺乏培訓、專業技能不足、不具備崗位技能要求而導致信息系統故障或被攻擊 對威脅進行分類的方式有多種多樣，針對上表威脅來源，可以根據其表現形式將威脅分為以下種類。 1.軟硬件故障 2.物理環境影響 3.無作為或操作失誤 4.管理不到位 5.惡意代碼 6.越權或濫用 7.網絡攻擊 8.物理攻擊 9.泄密 10.篡改 11.抵賴 7.4.3 威脅賦值脅賦值 識別資產面臨的威脅后，還應該評估威脅出現的頻率。威脅出現的頻率是衡量威脅嚴重程度的重要因素。 表7-10 威脅賦值表 等級標識定義5很高出現的頻率很高（或1次/周）；或在大多數情況下幾乎不可避免；或可以

20、證實經常發生過4高出現的頻率較高（或1次/月）；在大多數情況下很有可能會發生；或可以證實多次發生過3中出現的頻率中等（或1次/半年）；或在某種情況下可能會發生；或被證實曾經發生過2低出現的頻率較小；或一般不太可能發生；或沒有被證實發生過1很低威脅幾乎不可能發生；僅可能在非常罕見和例外的情況下發生7.4.4 輸輸出結結果 表7-11 威脅列表示例1 威脅編號威脅類別威脅賦值描述表7-12 威脅列表示例2威脅編號威脅類別具體威脅威脅描述威脅來源后果威脅賦值受影響的設備名稱（IP）7.5 識別并評識別并評估脆弱性7.5.1 脆弱性識別識別 1漏洞掃掃描工具 絕大部分的評估項目中，都會使用到漏洞掃描工

21、具。利用脆弱性掃描絕大部分的評估項目中，都會使用到漏洞掃描工具。利用脆弱性掃描工具對評估范圍內的系統和網絡進行掃描，從內部和外部兩個角度查找網工具對評估范圍內的系統和網絡進行掃描，從內部和外部兩個角度查找網絡結構、網絡設備、服務器主機、數據和用戶帳號絡結構、網絡設備、服務器主機、數據和用戶帳號/口令等安全對象目標口令等安全對象目標存在的安全風險、漏洞、威脅。存在的安全風險、漏洞、威脅。 2滲透測試測試 滲透測試可以非常有效地發現安全隱患。利用滲透測試可以非常有效地發現安全隱患。利用6.2節描述的滲透測試工節描述的滲透測試工具對重要資產進行全面檢查，發現漏洞。具對重要資產進行全面檢查，發現漏洞。

22、 3各類檢查類檢查列表 檢查表用于手工識別信息系統中常見的組件中存在的安全漏洞。檢查表用于手工識別信息系統中常見的組件中存在的安全漏洞。 7.5.2 脆弱性分類類 脆弱性識別主要從技術和管理兩個方面進行，脆弱性識別主要從技術和管理兩個方面進行，技術脆弱性涉及物理層、網絡層、系統層、應用層等技術脆弱性涉及物理層、網絡層、系統層、應用層等各個層面的安全問題。管理脆弱性又可分為技術管理各個層面的安全問題。管理脆弱性又可分為技術管理和組織管理兩方面，前者與具體技術活動相關，后者和組織管理兩方面，前者與具體技術活動相關，后者與管理環境相關，表與管理環境相關，表7-14提供了一種脆弱性分類方提供了一種脆弱

23、性分類方法。法。 表7-14 脆弱性分類表類型識別對象識別內容技術脆弱性物理環境從機房場地、機房防火、機房供配電、機房防靜電、機房接地與防雷、電磁防護、通信線路的保護、機房區域防護、機房設備管理等方面進行識別。服務器（含操作系統）從物理保護、用戶帳號、口令策略、資源共享、事件審計、訪問控制、新系統配置（初始化）、注冊表加固、網絡安全、系統管理等方面進行識別。網絡結構從網絡結構設計、邊界保護、外部訪問控制策略、內部訪問控制策略、網絡設備安全配置等方面進行識別。數據庫從補丁安裝、鑒別機制、口令機制、訪問控制、網絡和服務設置、備份恢復機制、審計機制等方面進行識別。應用系統審計機制、審計存儲、訪問控制

24、策略、數據完整性、通信、鑒別機制、密碼保護等方面進行識別。管理脆弱性技術管理物理和環境安全、通信與操作管理、訪問控制、系統開發與維護、業務連續性。組織管理安全策略、組織安全、資產分類與控制、人員安全、符合性7.5.3 脆弱性賦值賦值 可以根據對資產損害程度、技術實現的難易程可以根據對資產損害程度、技術實現的難易程度、弱點流行程度，采用等級方式對已識別的脆弱性度、弱點流行程度，采用等級方式對已識別的脆弱性的嚴重程度進行賦值。的嚴重程度進行賦值。 對某個資產，其技術脆弱性的嚴重程度受到組對某個資產，其技術脆弱性的嚴重程度受到組織的管理脆弱性的影響，因此，資產的脆弱性賦值還織的管理脆弱性的影響，因此

25、，資產的脆弱性賦值還應參考技術管理和組織管理脆弱性的嚴重程度。應參考技術管理和組織管理脆弱性的嚴重程度。7.5.4 輸輸出結結果 評估脆弱性后的輸出結果有原始漏洞檢測、識評估脆弱性后的輸出結果有原始漏洞檢測、識別報告文件，別報告文件，漏洞分析報告漏洞分析報告，表，表7-16提供了一提供了一種脆弱性列表的示例。種脆弱性列表的示例。 表7-16 脆弱性列表示例資產ID脆弱性ID脆弱性名稱脆弱性賦值脆弱性描述7.6 識別識別安全措施7.6.1 識別識別安全措施 要得到威脅利用脆弱性的可能性大小和產生的影要得到威脅利用脆弱性的可能性大小和產生的影響，必須先識別目前的安全措施和評價安全措施的有響，必須先

26、識別目前的安全措施和評價安全措施的有效性。效性。 識別已有的安全措施，分析安全措施的效力，確識別已有的安全措施，分析安全措施的效力，確定威脅利用脆弱性的實際可能性，一方面可以指出當定威脅利用脆弱性的實際可能性，一方面可以指出當前安全措施的不足，另一方面也可以避免重復投資。前安全措施的不足，另一方面也可以避免重復投資。 安全措施大致可以分為技術控制措施、管理和操安全措施大致可以分為技術控制措施、管理和操作控制措施兩大類。作控制措施兩大類。 識別出來的控制措施，一般不必做直接的評價，識別出來的控制措施，一般不必做直接的評價，在分析影響和可能性的過程中作為其中一個重要因素在分析影響和可能性的過程中作

27、為其中一個重要因素一起評價。一起評價。 安全措施識別活動中，可能會用到工具有以下幾種。 1技術術控制措施調查調查表 用于調查和記錄被評估組織已經部署的安全控制措施。 2管理和操作控制措施調查調查表 對照安全管理標準，調查和記錄組織已經采取的安全管理和操作控制措施。 3符合性檢查檢查工具 用于檢查被評估組織當前對安全標準或策略的符合程度。7.6.2 輸輸出結結果 安全控制措施識別與確認過程后，應提交以下安全控制措施識別與確認過程后，應提交以下輸出結果：輸出結果： 1技術控制措施識別與確認結果；技術控制措施識別與確認結果； 2管理與與操作措施識別與識別與確認結認結果。 構成風險的要素有4個：資產、

28、威脅、脆弱性和安全措施，在識別了這4個要素之后，存在什么風險就可以顯現了。 評價風險有2個關鍵因素：一個是威脅對信息資產造成的影響，另一個是威脅發生的可能性。 定性的分析產生影響和可能性的級別，定量的分析產生相應的損失大小和發生概率。7.7 分析可能性和影響響7.7.1 分析可能性 根據威脅出現頻率及脆弱性狀況，計算威脅利用脆弱性導致安全事件發生的可能性，即：安全事件發生的可能性=L(威脅出現頻率，脆弱性)L(T，V ) 目前，定量分析可能性要用到的數據貧乏，很難實現，多采用定性分析的方法 。 表7-17 可能性級別定義可能性級別可能性描述高3每個月或不到一個月可能發生一次中2每六個月或不到六

29、個月可能發生一次低1每一年或不到一年可能發生一次7.7.2 分析影響響 根據資產重要程度及脆弱性嚴重程度，計算安全事件一旦發生后的損失，即：安全事件的影響=F(資產重要程度，脆弱性嚴重程度)F(Ia，Va ) 影響級別是威脅一次成功地利用脆弱性后對組織造成的不期望的后果或損失的相對等級。 表7-18 影響級別定義 影響級別影響定義高3可引起重要系統的中斷，或連接客戶損失或商業信任損失中2能引起系統聲望的損害，或是對系統資源或服務的信任程度的降低，需要支付重要資源維修費低1對系統有一些很小的影響，只須很小的努力就可恢復系統7.8 風險計風險計算 根據威脅利用資產的脆弱性導致安全事件發生的可能性、

30、安全事件發生后造成的損失，計算風險值，即： 風險值=R(A,T,V) =R(安全事件發生的可能性,安全事件的損失)R(L(T,V),F(Ia,Va) 其中，R表示風險計算函數，A表示資產，T表示威脅，V表示脆弱性，Ia表示安全事件所作用的資產價值，Va表示脆弱性嚴重程度，L表示威脅利用資產的脆弱性導致安全事件發生的可能性、F表示安全事件發生后造成的損失。7.8 風險計風險計算 根據威脅利用資產的脆弱性導致安全事件發生的可能性、安全事件發生后造成的損失，計算風險值，即： 風險值=R(A,T,V) =R(安全事件發生的可能性,安全事件的損失)R(L(T,V),F(Ia,Va) 其中，R表示風險計算

31、函數，A表示資產，T表示威脅，V表示脆弱性，Ia表示安全事件所作用的資產價值，Va表示脆弱性嚴重程度，L表示威脅利用資產的脆弱性導致安全事件發生的可能性、F表示安全事件發生后造成的損失。 常用的風險評估方法有矩陣法和相乘法。 注：實際上，L不僅與威脅和脆弱性有關部門，還與采取的控制措施Ct有關；F亦與Ct有關。有效的控制措施可以減少或降低L和F的值或等級，為簡單起見，這里不考慮控制措施的影響。7.8.1 使用矩陣陣法計計算風險風險 矩陣法主要適用于由兩個要素值確定一個要素矩陣法主要適用于由兩個要素值確定一個要素值的情形，假設：值的情形，假設： x=x1,x2,xi,xm,1im,xi為為正整數

32、數 y=y1,y2,yj,yn,1jn,yj為正整數為正整數 函數函數z=f(x,y)可以使用矩陣法計算，即以可以使用矩陣法計算，即以x和和y的的取值構造一個二維矩陣，如表取值構造一個二維矩陣，如表7-19所示，矩陣行值所示，矩陣行值為為y的所有取值，矩陣列值為的所有取值，矩陣列值為x的所有取值，矩陣內的所有取值，矩陣內mn個值即為函數個值即為函數z的值。的值。 表7-19 矩陣構造yxy1y2yjynx1z11z12z1jz1nx2z21z22z2jz2nxizi1zi2zijzinxmzm1zm2zmjzmn 對于zij的計算，可以采用zij=xi+yj、zij=xiyj或zij=xi +

33、yj，其中和為正常數。zij的計算可根據實際情況確定，不一定要遵循統一的計算公式，但必須具有統一的增減趨勢。7.8.2 使用相乘法計計算風險風險 相乘法主要適用于由兩個要素值確定一個要素相乘法主要適用于由兩個要素值確定一個要素值的情形，即函數值的情形，即函數z=f(x,y)，函數，函數f可以使用相乘法計可以使用相乘法計算，算，z=f(x,y)=xy，如，如z=xy，或，或z=等。等。7.9 風險處風險處理7.9.1 現現存風險風險判斷斷 依據信息安全風險評估結果，確定系統可接受的依據信息安全風險評估結果，確定系統可接受的風險等級，把信息安全風險評估得出的風險等級劃分風險等級，把信息安全風險評估

34、得出的風險等級劃分為可接受和不可接受兩種，形成風險接受等級劃分表，為可接受和不可接受兩種，形成風險接受等級劃分表，表表7-31是一種風險接受等級劃分表的示例。是一種風險接受等級劃分表的示例。資產編號資產名稱風險等級風險接受等級表7-31 風險接受等級劃分表示例7.9.2 控制目標標確定 7.9.2.1 風險風險控制需求分析 按照系統的風險等級接受程度，通過對信息系統技術層按照系統的風險等級接受程度，通過對信息系統技術層面的安全功能、組織層面的安全控制和管理層面的安全對策面的安全功能、組織層面的安全控制和管理層面的安全對策進行分析描述，形成已有安全措施的需求分析結果，表進行分析描述，形成已有安全措施的需求分析結果，表7-32是一種風險控制需求分析表的示例。是一種風險