柴志成 贵阳学院

1 等级保护与风险评估关系分析

1.1 等级保护合规性评判等级保护测评是对系统确定的安全等级开展合规性评判，系统的安全等级根据系统安全级别确定。业务信息安全与系统信息资产及其所支持的业务密切相关，资产的保密性、完整性遭受破坏时，会增加系统面临的业务安全风险。系统等级保护测评过程可归纳为：（1）对系统的基本情况进行调查，了解系统的定级要求、资产构成、网络拓扑、主要业务以及曾经发生的安全威胁等情况；（2）根据系统基本情况确定测评对象、测评内容和测评指标；（3）根据选定的测评对象和测评指标，按照等级保护基本要求和测评要求等相关标准，对选定的测评对象和测评指标逐一开展现场测评；（4）对系统进行单元测评、整体测评和总体安全状况分析，在进行总体安全状况分析时，重点考虑在现有安全保障措施情况下，对测试中发现的安全问题进行风险评估。

1.2 风险评估方法按照国标定义，信息安全风险评估是指：依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等属性评价的过程；也就是评估资产面临的威胁和脆弱点，以及威胁利用脆弱点产生安全事件的可能性，并根据安全事件涉及的资产来判断安全风险严重程度。

风险评估过程可归纳为：（1）梳理测评对象的资产及其价值；（2）寻找资产存在的漏洞或弱点；（3）识别测评对象可能面临的安全威胁；……