ICS35030

CCSL.80

中華人民共和國國家標準

GB/T20984—2022

代替GB/T20984—2007

信息安全技術信息安全風險評估方法

Informationsecuritytechnology—Riskassessmentmethodfor

informationsecurity

2022-04-15發布2022-11-01實施

國家市場監督管理總局發布

國家標準化管理委員會

GB/T20984—2022

目次

前言

…………………………Ⅰ

范圍

1………………………1

規范性引用文件

2…………………………1

術語和定義縮略語

3、………………………1

術語和定義

3.1…………………………1

縮略語

3.2………………2

風險評估框架及流程

4……………………2

風險要素關系

4.1………………………2

風險分析原理

4.2………………………3

風險評估流程

4.3………………………3

風險評估實施

5……………4

風險評估準備

5.1………………………4

風險識別

5.2……………5

風險分析

5.3……………11

風險評價

5.4……………11

溝通與協商

5.5…………………………13

風險評估文檔記錄

5.6…………………13

附錄資料性評估對象生命周期各階段的風險評估

A()………………14

附錄資料性風險評估的工作形式

B()…………………17

附錄資料性風險評估的工具

C()………………………18

附錄資料性資產識別

D()………………21

附錄資料性威脅識別

E()………………23

附錄資料性風險計算示例

F()…………26

參考文獻

……………………27

GB/T20984—2022

前言

本文件按照標準化工作導則第部分標準化文件的結構和起草規則的規

GB/T1.1—2020《1:》

定起草

。

本文件代替信息安全技術信息安全風險評估規范與

GB/T20984—2007《》,GB/T20984—2007

相比除結構調整和編輯性改動外主要技術變化如下

,,:

增加了業務和信息系統生命周期見和

a)“”“”(3.43.7);

刪除了業務戰略的術語和定義見年版的

b)“”(20073.4);

刪除了資產資產價值可用性保密性信息系統完整性殘余風險安全事件威

c)“”“”“”“”“”“”“”“”“

脅和脆弱性的術語和定義見年版的和

”“”(20073.1、3.2、3.3、3.5、3.8、3.10、3.12、3.14、3.17

3.18);

更改了風險評估框架及流程中的風險要素關系風險分析原理和評估實施流程見第章

d)、(4,

年版的第章

20074);

更改了風險評估實施過程中風險要素識別和關聯分析內容見和年版的

e)(5.25.3,20075.2、

和

5.3、5.4、5.55.6);

將原標準中評估對象生命周期各階段的風險評估和風險評估的工作形式調整到規范性附錄

f)A

和資料性附錄中見附錄和附錄年版的第章和第章

B(AB,200767)。

請注意本文件的某些內容可能涉及專利本文件的發布機構不承擔識別專利的責任

。。

本文件由全國信息安全標準化技術委員會提出并歸口

(SAC/TC260)。

本文件起草單位國家信息中心北京安信天行科技有限公司信息產業信息安全測評中心北京信

:、、、

息安全測評中心中國信息安全測評中心中國網絡安全審查技術與認證中心中國電子技術標準化研

、、、

究院公安部信息安全等級保護評估中心公安部第一研究所上海觀安信息技術股份有限公司成都民

、、、、

航電子技術有限責任公司河南金盾信安檢測評估中心有限公司深圳市南山區政務服務數據管理局

、、、

云南公路聯網收費管理有限公司國網寧夏電力有限公司國網新疆電力有限公司

、、。

本文件主要起草人祿凱詹榜華陳永剛劉豐陳青民趙增振張益高亞楠任金強劉龍濤

:、、、、、、、、、、

劉德林劉凱俊孫明亮杜宇鴿翟亞紅王惠蒞任衛紅彭海龍李秋香安佳偉馬勇張軍湯志強

、、、、、、、、、、、、、

段明磊楊童肖強張宏杰劉育辰陳濤李峰

、、、、、、。

本文件及其所代替文件的歷次版本發布情況為

:

年首次發布為

———2007GB/T20984—2007;

本次為第一次修訂

———。

Ⅰ

GB/T20984—2022

信息安全技術信息安全風險評估方法

1范圍

本文件描述了信息安全風險評估的基本概念風險要素關系風險分析原理風險評估實施流程和

、、、

評估方法以及風險評估在信息系統生命周期不同階段的實施要點和工作形式

,。

本文件適用于各類組織開展信息安全風險評估工作

。

2規范性引用文件

下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款其中注日期的引用文

。,

件僅該日期對應的版本適用于本文件不注日期的引用文件其最新版本包括所有的修改版適用于

,;,()

本文件

。

信息安全技術術語

GB/T25069

信息安全技術信息安全風險處理實施指南

GB/T33132—2016

3術語和定義縮略語

、

31術語和定義

.

界定的以及下列術語和定義適用于本文件

GB/T25069。

311

..

信息安全風險informationsecurityrisk

特定威脅利用單個或一組資產脆弱性的可能性以及由此可能給組織帶來的損害

。

注它以事態的可能性及其后果的組合來度量

:。

來源

[:GB/T31722—2015,3.2]

312

..

風險評估