4、网络安全基础：风险评估与安全控制

网络安全基础：风险评估与安全控制

1. 风险评估基础

在风险评估中，大多数解决方案采用简单的风险定义：
[R = P \times I]
其中，(P) 表示安全事件发生的可能性（包括涉及的漏洞特征和攻击难度），(I) 表示影响，主要取决于资源价值。确定这些值是风险分析阶段的主要目标，也是风险管理（RM）过程中最关键的步骤之一。有时无法确定数值，只能采用定性方法；在其他情况下，混合方法更合适。

1.1 风险评估的细化分类

为了系统地确定这些值，提出了比仅考虑使用的值类型（定量、定性和混合）更精细的分类。其他需要考虑的标准包括：
- 视角 ：与要考虑的资源类型（或粒度）相关，例如信息资源、服务和业务流程。
- 估值 ：对资源进行分类，例如关键和非关键资源。
- 影响确定 ：可能（或应该）考虑风险的传播，分析对一个资源的影响可能对其他资源产生的效果。

1.2 风险评估矩阵示例

Impact	Very low (1)	Low (2)	Moderate (3)	High (4)	Very high (5)
Very unlikely (1)	1