谢宗晓（南开大学商学院）



信息安全风险管理相关词汇定义与解析

谢宗晓（南开大学商学院）

摘要：本文给出了风险管理相关术语的定义及其详细的解析，其中包括：风险管理、风险评估、风险应对、风险识别、风险分析和风险评价等。

关键词：信息安全 风险评估 风险管理 风险应对

谢宗晓 博士

“十二五”国家重点图书出版规划项目《信息安全管理体系丛书》执行主编。自2003年起，从事信息安全风险评估与信息安全管理体系的咨询与培训工作。目前，已发表论文42篇，出版专著12本。

信息安全管理系列之十五

无论是信息安全管理体系（ISMS），还是信息系统安全等级保护，几乎所有的信息安全管理最佳实践都以风险管理为基础。但是，由于理解或翻译问题，风险管理的诸多词汇应用都较为混乱，例如，“风险处理”“风险处置”和“风险应对”在英文中都是risk treatment。下文以GB/T 23694—2013 / ISO Guide 73：2009的术语定义为基础，对相关概念进行了解析。

谢宗晓（特约编辑）

1 风险管理概念解析

风险管理是组织管理活动的一部分，其管理的主要对象就是风险。在GB/T 23694—2013 / ISO Guide 73：2009《风险管理 术语》中曾经指出，风险管理由一系列的活动组成，这些活动包括了标识、评价、处理和可能影响组织正常运行事件的整个过程，其准确的定义为：风险管理（risk management）是指在风险方面，指导和控制组织的协调活动。

与风险管理定义密切相关的，还有“风险管理框架”和“风险管理过程”两个词汇。

风险管理框架（risk management framework）是指为设计、执行、监督、评审和持续改进整个组织的风险管理提供基础和组织安排的要素集合。……