第1章 概述 1
1.1 风险起源 1
1.1.1 风险的发展历程 1
1.1.2 风险定义 2
1.1.3 风险管理 2
1.2 风险管理的模型 3
1.2.1 风险管理对象 4
1.2.2 信息安全属性 5
1.2.3 风险管理环节 8
1.3 信息安全风险特性 12
1.3.1 风险的基本特性 12
1.3.2 风险的不确定性 12
1.3.3 风险的影响 13
1.4 信息安全风险要素与关系 14
1.4.1 基本要素 14
1.4.2 关系 15
第2章 信息安全风险管理相关标准 16
2.1 ISO/IEC31000 16
2.1.1 ISO/IEC31000标准内容简介 16
2.1.2 风险管理的原则 17
2.1.3 风险管理的框架 18
2.1.4 风险管理的过程 21
2.2 ISO/IEC 13335 25
2.2.1 ISO/IEC 13335标准内容简介 25
2.2.2 ISO/IEC 13335的信息安全概念 26
2.2.3 ISO/IEC 13335的安全要素 28
2.2.4 ISO/IEC 13335的八个安全要素之间的关系以及风险管理关系模型 30
2.3 ISO/IEC 27005 31
2.3.1 ISO/IEC 27005标准内容简介 31
2.3.2 ISO/IEC 27005风险管理过程 32
2.4 卡内基梅隆 41
2.4.1 OCTAVE概述 41
2.4.2 OCTAVE Method介绍 42
2.4.3 OCTAVE-S介绍 43
2.5 GB/T 20984 45
2.5.1 GB/T 20984标准的内容简介 45
2.5.2 GB/T 20984的风险评估 47
第3章 信息安全风险评估实现 52
3.1 风险评估过程框架 52
3.1.1 风险评估原则 52
3.1.2 风险评估过程框架 53
3.2 风险识别阶段 54
3.2.1 建立环境 54
3.2.2 风险评估前期调查 56
3.2.3 风险评估工具准备 57
3.2.4 资产识别 58
3.2.5 威胁识别 63
3.2.6 脆弱性识别 69
3.2.7 安全措施分析 73
3.3 风险分析阶段 74
3.3.1 风险分析 74
3.3.2 风险计算 75
3.4 风险评价阶段 81
3.5 风险评估的报告 84
3.6 风险评估的评审 85
第4章 信息安全风险处置 87
4.1 风险处置过程框架 87
4.2 风险处置方法 89
4.3 风险处置措施选择与实施 91
4.3.1 选择风险处置方法 91
4.3.2 准备和实施风险处置计划 91
4.4 风险处置的监视与评审 98
4.4.1 风险处置有效性的监视与评审的必要性 98
4.4.2 风险处置有效性的监督与评审示意图（如图4-3所示） 98
4.4.3 风险处置有效性的监督与评审的原则 99
4.5 典型的风险处置措施 99
第5章 信息安全风险管理案例 101
5.1 案例背景 101
5.2 确定风险管理框架 102
5.3 风险识别 103
5.3.1 建立环境 103
5.3.2 前期调查 105
5.3.3 工具准备 106
5.3.4 风险要素识别 107
5.4 风险分析 131
5.4.1 计算安全事件可能性 131
5.4.2 计算安全事件损失 136
5.4.3 计算风险值 137
5.5 风险评价 146
5.6 风险处置 147
5.6.1 现存风险判断 147
5.6.2 控制措施选择 153
5.7 风险管理评审 153
附录1：风险评估的工具和方法 154
附表1-1 风险评估的方法 156
附录2：系统调研调查表 167
附表2-1 单位基本情况调查表 167
附表2-2 参与测评项目相关人员名单 167
附表2-3 信息资产登记表 167
附表2-4 信息系统等级情况 168
附表2-5 外联线路及设备端口网络边界情况 168
附表2-6 信息系统网络结构环境情况 168
附表2-7 安全设备情况 168
附表2-8 网络设备情况 168
附表2-9 终端设备情况 169
附表2-10 服务器设备情况 169
附表2-11 应用系统软件情况 169
附表2-12 业务系统功能登记表 169
附表2-13 信息系统承载业务（服务）表 169
附表2-14 业务数据情况调查 170
附表2-15 数据备份情况 170
附表2-16 应用系统软件处理流程（多表） 170
附表2-17 管理文档情况调查（制度类文档） 170
附表2-18 管理文档情况调查（记录类文档） 172
附表2-19 安全威胁情况 173
参考文献 174