信息安全风险评估指南

GB/T ××××—××××

文档 人员 用项目经理及网络研发人员等 其它

6.2.2 资产赋值

对资产的赋值不仅要考虑资产本身的价值，更重要的是要考虑资产的安全状况对于组织的重要性，即由资产在其三个安全属性上的达成程度决定。为确保资产赋值时的一致性和准确性，组织应建立一个资产价值评价尺度，以指导资产赋值。

资产赋值的过程也就是对资产在机密性、完整性和可用性上的达成程度进行分析，并在此基础上得出一个综合结果的过程。达成程度可由安全属性缺失时造成的影响来表示，这种影响可能造成某些资产的损害以至危及信息系统，还可能导致经济效益、市场份额或组织形象的损失。 6.2.2.1 机密性赋值

根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的应达成的不同程度或者机密性缺失时对整个组织的影响。

表2提供了一种机密性赋值的参考。 赋值 5 极高 标识 表2 资产机密性赋值表

定义 包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性影响，如果泄漏会造成灾难性的损害 4 高 包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害 3 中等 包含组织的一般性秘密，其泄露会使组织的安全和利益受到损害 2 低 包含仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成损害 企业形象，客户关系等 纸质的各种文件、传真、电报、财务报告、发展计划等 掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应10

GB/T ××××—××××

1 可忽略 包含可对社会公开的信息，公用的信息处理设备和系统资源等 6.2.2.2 完整性赋值

根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。

表3提供了一种完整性赋值的参考。 赋值 5 极高 标识 表3 资产完整性赋值表

定义 完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补 4 高 完整性价值较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，比较难以弥补 3 中等 完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补 2 低 完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，可以忍受，对业务冲击轻微，容易弥补 1 可忽略 6.2.2.3 可用性赋值

根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。

表4提供了一种可用性赋值的参考。 赋值 标识 表4 资产可用性赋值表

定义 11

完整性价值非常低，未经授权的修改或破坏对组织造成的影响可以忽略，对业务冲击可以忽略 GB/T ××××—××××

5 极高 可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上 4 高 可用性价值较高，合法使用者对信息及信息系统的可用度达到每天90%以上 3 中等 可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上 2 低 可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上 1 可忽略 可用性价值可以忽略，合法使用者对信息及信息系统的可用度在正常工作时间低于25% 6.2.2.3 资产重要性等级

资产价值应依据资产在机密性、完整性和可用性上的赋值等级，经过综合评定得出。综合评定方法 可以根据组织自身的特点，选择对资产机密性、完整性和可用性最为重要的一个属性的赋值等级作为资产的最终赋值结果，也可以根据资产机密性、完整性和可用性的不同重要程度对其赋值进行加权计算而得到资产的最终赋值。加权方法可根据组织的业务特点确定。

本标准中，为与上述安全属性的赋值相对应，将资产重要性划分为五级，级别越高表示资产重要性程度越高。也可以根据组织的实际情况确定资产识别中的赋值依据和等级。

表5提供了一种资产重要性等级划分的参考。 等级 5 4 3 2 1 标识 很高 高 中 低 很低 定义 非常重要，其安全属性破坏后可能对组织造成非常严重的损失 重要，其安全属性破坏后可能对组织造成比较严重的损失 比较重要，其安全属性破坏后可能对组织造成中等程度的损失 不太重要，其安全属性破坏后可能对组织造成较低的损失 不重要，其安全属性破坏后对组织造成导很小的损失，甚至忽略不计 表5 资产重要性等级划分表

12

GB/T ××××—××××

评估者可根据资产赋值结果，确定重要资产的范围，并主要围绕重要资产展开以下实施步骤。 6.3 威胁识别

威胁是一种对组织及其资产构成潜在破坏的可能性因素，是客观存在的。造成威胁的因素可分为人为因素和环境因素。根据威胁的动机，人为因素又可分为恶意和无意两种。环境因素包括自然界不可抗的因素和其它物理因素。威胁作用形式可以是对信息系统直接或间接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害；也可能是偶发的、或蓄意的事件。 6.3.1 威胁分类

在对威胁进行分类前，首先要考虑威胁的来源。 表6提供了一种威胁来源的分类方法。

来源 环境因素 表6 威胁来源列表

描述 由于断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境条件和自然灾害；意外事故或由于软件、硬件、数据、通讯线路方面的故障 人为因素 内部人员由于缺乏责任心，或者由于不关心和不专注，或者没有遵循规章制度和操作流程而导致故障或被攻击；内部人员由无恶意人员 于缺乏培训，专业技能不足,不具备岗位技能要求而导致信息系统故障或被攻击 对威胁进行分类的方式有多种多样，针对上表威胁来源，可以根据其表现形式将威胁分为以下种类。表7提供了一种基于表现形式的威胁分类方法。

种类 软硬件故障 表7 一种基于表现形式的威胁分类表

描述 由于设备硬件故障、通讯链路中断、系统本身或软件Bug13

不满的或有预谋的内部人员对信息系统进行恶意破坏；采用自主的或内外勾结的方式盗窃机密信息或进行篡改，获取利益 恶意人员 外部人员利用信息系统的脆弱性，对网络和系统的机密性、完整性和可用性进行破坏，以获取利益或炫耀能力