CH2 风险管理与国产化
零基础教学讲义 · 按「为什么 → 是什么 → 怎么做」重新讲一遍 · 配套作业1（风险管理为本章重点）
🎯学习目标
读完这一章，你应该能回答：
- 什么是风险管理？为什么要做？（PDCA 持续循环）
- 风险的 9 个核心术语，以及它们怎么连成一条风险链。
- 风险管理的工作流程：四阶段 + 两贯穿。
- 四类风险处置：降低 / 转移 / 规避 / 接受。
- 风险评估流程、定性/定量分析（ALE = AV×EF×ARO）。
- 系统生命周期五阶段的风险管理。
- 为什么做国产化替代，替什么（CPU/操作系统/数据库）。
1为什么要做风险管理？
很多企业都有这样的困惑（课件原话）：
| 常见问题 | 问题根源 |
|---|---|
| 安全投资逐年增加，但看不到收益 | 没按风险优先级规划，没抓主要矛盾，有限资金利用率低 |
| 按国家/行业要求做了安全工作，但安全事件仍出现 | 没按自身需求部署控制措施，没突出控制高风险 |
| 有限资金应优先投向哪个领域 | 决策者没看到安全投资收益报告，划拨无依据 |
| 当了 CIO，时刻担心系统出事 | 没有残余风险清单，不知道在什么条件下会触发 |
结论：好的风险管理能让机构以最具成本效益的方式，把已知风险维持在可接受水平。它不是要消灭所有风险（做不到也不划算），而是抓主要矛盾。
风险管理是一个持续的 PDCA 循环
定义二：在组织内部识别、优化、管理风险，使风险降到可接受水平的过程。
2九大核心术语（本章地基）⭐
这是整章的基础，必须背熟。先看一览表，再点卡片翻转记忆。
| 术语 | 英文 | 一句话定义 |
|---|---|---|
| 资产 | Asset | 任何对组织有价值、要保护的东西 |
| 威胁源 | Threat Agent | 发起威胁的主体（黑客、间谍、自然灾害） |
| 威胁 | Threat | 可能导致安全事故、资产损失的活动 |
| 脆弱性 | Vulnerability | 资产的弱点/隐患（造成风险的内因） |
| 控制措施 | Countermeasure | 防范威胁、降低风险的手段 |
| 可能性 | Likelihood | 威胁源利用脆弱性造成后果的可能性 |
| 影响 | Impact | 造成后果的程度大小 |
| 风险 | Risk | 威胁源利用脆弱性对资产造成不良后果的可能性 |
| 残余风险 | Residual Risk | 采取措施后仍存在的风险 |
👇 点击卡片翻转，看"举例 / 关键点"
资产
Asset不只是设备/数据，品牌、名誉、人员也是资产
威胁源
Threat Agent黑客、间谍、犯罪团伙、内部人员、自然灾害
威胁
Threat口令攻击、漏洞利用、拒绝服务、窃取数据、社会工程…
脆弱性
Vulnerability代码缺陷、配置错误、流程缺陷、人员意识不足；本身不构成危害
控制措施
Countermeasure防火墙、入侵检测、审计、应急体系、U盘管理制度
可能性
Likelihood互联网公开漏洞+有工具→可能性大；物理隔离局域网→可能性小
影响
Impact国家级网站比省市网站损失大；核心系统比门户损失大
风险
Risk威胁源利用脆弱性造成资产损失的可能性，只考虑负面影响
残余风险
Residual Risk有些是权衡成本效益后故意不控制的，但要持续监控
💎 资产的多种分类（重点：有形/无形）
资产以多种形式存在，可以从多个维度分类：
物理的 / 逻辑的
计算/网络/存储设备 ↔ 体系结构、协议、程序、数据文件硬件的 / 软件的
主板机箱键鼠 ↔ 操作系统、数据库、工具与应用软件有形的 / 无形的
机房/设备/人员 ↔ 品牌、信心、名誉静态的 / 动态的
设施、规程 ↔ 人员、过程技术的 / 管理的
硬件软件固件 ↔ 业务目标、战略、策略、规程、人员♻️ 残余风险（举例）
3术语关系链（必考图）⭐
这些术语不是孤立的，它们串成一条"风险链"。理解这条链，整章就通了。
🎮 小练习：把术语和它的定义连起来
先点左边一个术语，再点右边对应的定义，连对会变绿。
4风险评估 vs 风险管理（容易混）
这两个概念很像，但范围不同，是常考点。
| 风险管理 | 风险评估 | |
|---|---|---|
| 目标 | 将风险降低到可接受水平 | 确定面临的风险并确定其优先级 |
| 范围/周期 | 包括风险评估、风险决策、风险控制等所有阶段 | 风险管理中的单个阶段 |
| 计划 | 持续（PDCA） | 按需要 |
5风险管理工作流程：四阶段 + 两贯穿 ⭐
依据国标 GB/Z 24364《信息安全风险管理指南》：四个阶段（按顺序），两个贯穿（全程）。
四个阶段
| 阶段 | 主要工作内容 |
|---|---|
| ① 建立背景 第一步 | 确定对象和范围、组建团队、制定计划、获得支持（需决策人参与）；信息系统调查、分析；信息安全分析（安全要求/安全环境） |
| ② 风险评估 | 制定方案、选评估方法；识别威胁/脆弱性/控制措施；分析可能性和影响；判定风险等级。后续处理和监督都依靠评估结果 |
| ③ 风险处理 | 判断哪些风险可接受/不可接受；确认处理目标（控制到什么程度）；选择处理方式；制定方案、部署控制措施 |
| ④ 批准监督 | 批准：决策层依据评估和处理结果，决定是否认可风险管理活动；监督：检查环境有无变化、是否引入新风险 |
两个贯穿（全程进行）
监控审查
及时发现已出现/即将出现的变化、偏差、延误，采取措施纠正，保证主循环有效沟通咨询
与领导/各部门/用户充分沟通取得协作；提供培训和咨询，提高人员安全意识、知识和技能6四类风险处置方法 ⭐
风险处理是为了把风险始终控制在可接受范围内。常用四类方法：
降低风险
对资产采取保护措施减小风险。
首选，通常在安全投入 < 负面影响价值时采用。
转移风险
把资产或其价值转给第三方（如买保险、外包）。
用于低概率但高影响、自己难降低的风险。
规避风险
干脆不使用这个面临风险的资产。
用于损失无法接受、又难以通过控制措施降低时。
接受风险
不做进一步处理，承担后果。
用于采取措施后仍必须接受的残余风险；但要持续监控。
🛡️ 降低风险：从风险的五个方面入手
| 从哪入手 | 具体办法 |
|---|---|
| 减少威胁源 | 用法律手段制裁计算机犯罪，发挥威慑作用，遏制威胁源动机 |
| 降低威胁能力 | 采取身份鉴别措施，抵御身份假冒这类威胁行为 |
| 减少脆弱性 | 及时打补丁、关闭无用网络服务端口，降低被利用的可能性 |
| 防护资产 | 各种防护措施、建立资产安全域，保证资产价值得到保持 |
| 降低负面影响 | 容灾备份、应急响应、业务连续计划，减少安全事件造成的影响程度 |
7系统生命周期中的风险管理
风险管理要贯穿整个系统生命周期，五个阶段每个都要做，越早做，后期处理同类问题成本越低。
规划
明确安全方针、需求分析、安全实现论证设计
设计方案论证、安全技术选择、安全产品选择实施
安全测试、检查配置、人员培训、授权运行运维
安全运行管理、变更管理、风险再评估、定期重审批废弃
安全报废处理，防报废设备泄密各阶段风险管理活动对应的工作内容
| 阶段 | 典型活动 → 对应的风险管理工作内容 |
|---|---|
| 规划 | 明确安全总体方针/需求分析(背景建立)、风险评估准则达成一致(风险评估)、安全实现论证(风险处理/批准监督) |
| 设计 | 设计方案论证(背景建立/风险评估)、安全技术与产品选择/自开发软件设计(风险处理) |
| 实施 | 安全测试(风险评估)、检查配置/人员培训(风险处理)、授权系统运行(批准监督) |
| 运维 | 安全运行管理/变更管理/风险再评估(风险评估+风险处理)、定期重新审批(批准监督) |
| 废弃 | 确定废弃对象(背景建立)、废弃对象风险评估(风险评估)、废弃过程处理(风险处理)、废弃后评审(批准监督) |
8风险评估实施流程
📜 国家政策要求
🔍 风险评估、检查评估、等级保护测评的关系
| 类型 | 依据的安全基线 | 性质 |
|---|---|---|
| 等保测评 | 符合国家安全要求 | 符合性测评（既定基线） |
| 安全检查 | 符合行业主管安全要求 | 符合性测评（既定基线） |
| 风险评估 | 以被评估系统的特定安全需求为目标 | 风险识别、风险分析、风险评价 |
🩺 类比：风险评估 =「健康体检 + 专项检查」
| 风险评估 | 对应"健康体检" |
|---|---|
| 资产 | 身体（要保护的对象） |
| 威胁 | 病毒/外部致病因素 |
| 脆弱性 | 身体情况（弱点） |
| 已有控制措施 | 已采取的预防措施 |
| 评估结果（风险优先级 + 控制建议） | 病情诊断 + 药方 |
🔁 评估流程：四阶段 / 简化版 4R
识别阶段三大要素
资产识别
整个评估的起点和终点；用树状法分类（自然形态/信息形态）威胁识别
分人为故意/人为非故意/自然威胁；方法：日志分析、历史事件、专家经验、互联网检索脆弱性识别
管理/结构/操作/技术/物理脆弱性；方法：配置核查、漏洞扫描、渗透测试、访谈9资产/威胁/脆弱性赋值与风险计算公式
国标 GB/T 20984《信息安全风险评估规范》推荐用 1~5 级赋值。
三类要素的 1~5 级赋值
| 赋值 | 资产（按机密性/完整性/可用性） | 威胁（按出现频率） | 脆弱性（按损害严重程度） |
|---|---|---|---|
| 5 | 很高（泄露/破坏造成灾难性损害） | 很高（≥1次/周，几乎不可避免） | 很高（被利用将造成完全损害） |
| 4 | 高（严重损害） | 高（≥1次/月） | 高（重大损害） |
| 3 | 中等（一般损害） | 中（>1次/半年） | 中等（一般损害） |
| 2 | 低（轻微损害） | 低（不太可能） | 低（较小损害） |
| 1 | 很低（可忽略） | 很低（几乎不可能） | 很低（损害可忽略） |
·最大原则：VA = Max(VAc, VAi, VAa, …)，取最大的属性赋值（常用）；
·加权原则：VA = ΣVAx·Wx（按属性对业务的重要性赋权重，权重之和=1）。
📐 风险计算公式（GB/T 20984）
A 资产 | T 威胁 | V 脆弱性 |
L 威胁利用脆弱性导致安全事件的可能性 | F 安全事件发生后造成的损失 | |
Ia 安全事件所作用的资产价值 | Va 脆弱性严重程度 | |
10定性 / 定量 / 半定量分析 ⭐
🔵 定性分析（矩阵法）
用"高/中/低"等文字等级描述影响和可能性，靠分析者经验判断，更具主观性。典型方法：因素分析法、逻辑分析法、历史比较法、德尔斐法、矩阵法。
矩阵法：用"可能性等级 × 影响等级"查表，得到风险等级（L 低 / M 中 / H 高 / E 极高）。
| 可能性＼影响 | 1 可忽略 | 2 较小 | 3 中等 | 4 较大 | 5 灾难性 |
|---|---|---|---|---|---|
| A 几乎肯定 | H | H | E | E | E |
| B 很可能 | M | H | H | E | E |
| C 可能 | L | M | H | E | E |
| D 不太可能 | L | L | M | H | E |
| E 罕见 | L | L | M | H | H |
🟢 定量分析（ALE 期望年度损失法）
用具体金额、数字描述后果和可能性，更具客观性，必须有公式。经典方法是期望年度损失法 ALE。
| 符号 | 含义 | 说明 |
|---|---|---|
| AV | 资产价值 | 资产的真实价值（替换成本、生产率损失、品牌成本等） |
| EF | 暴露系数 | 一次威胁对资产造成的损失百分比 |
| SLE | 单一预期损失 | SLE = AV × EF，发生一次风险的损失总额 |
| ARO | 年发生率 | 一年中风险发生的次数 |
| ALE | 年度预期损失 | ALE = SLE × ARO，不采取措施一年可能损失总额 |
| ROSI | 安全投资收益 | ROSI = 控制前ALE − 控制后ALE − 年控制成本 |
SLE = 100万 × 0.5 = 50万；ALE = 50万 × 2 = 100万/年。
若部署控制措施后 ALE 降到 20万，年控制成本 30万，则 ROSI = 100 − 20 − 30 = +50万（值得投资）。
🟡 半定量分析（相乘法）
把定性和定量结合，对要素赋数值再相乘。相乘法：可能性数值 × 影响数值 = 风险值，再按等级表判定。
| 可能性＼影响 | 1 | 2 | 3 | 4 | 5 |
|---|---|---|---|---|---|
| 5 几乎肯定 | 5 | 10 | 15 | 20 | 25 |
| 4 很可能 | 4 | 8 | 12 | 16 | 20 |
| 3 可能 | 3 | 6 | 9 | 12 | 15 |
| 2 不太可能 | 2 | 4 | 6 | 8 | 10 |
| 1 罕见 | 1 | 2 | 3 | 4 | 5 |
⚖️ 定性 vs 定量 优缺点对比（必考）
| 优点 | 缺点 | |
|---|---|---|
| 定量 | 结果用货币/数据表达；可按财务影响排优先级；可做投资收益(ROSI)分析；精度随历史数据积累提高 | 计算复杂耗时；专业技术性强，未经指导难执行；使复杂事物简单化、可能失真 |
| 定性 | 可对处置排优先级；更易达成一致；无需量化威胁频率/资产财务价值；便于非专业人员参与 | 重要风险之间区别不足；难做成本效益分析、难证明投资正确；结果主观性强，取决于团队素质 |
🟣 综合评估方法
定量是定性的基础前提，定性是灵魂（做判断、得结论）。把两者融合就是综合评估。典型：层次分析法 AHP（20 世纪 70 年代美国运筹学专家萨蒂提出），以及基于模糊综合评价、灰色理论、D-S 证据理论、机器学习的方法。
11风险评估工具分类
风险评估与管理工具
基于标准（NIST SP 800-30、ISO 27005）、基于知识（知识库综合评估）、基于模型（资产/威胁/脆弱性量化模型）系统基础平台工具
脆弱性扫描工具（网络/主机/分布式/数据库扫描器）、渗透测试工具（黑客工具、脚本）风险评估辅助工具
检查列表、IDS、安全审计工具、拓扑发现、资产收集；评估指标库/知识库/漏洞库/算法库/模型库12国产化替代
❓ 什么是国产化替代？
就是替代被国外垄断的产品，做"自主可控"。2016 年习总书记强调要牵住核心技术自主创新这个"牛鼻子"，加快推进国产自主可控替代计划。CPU、操作系统、数据库等基础软硬件是自主可控的"正面战场"。
❓ 为什么要做？
受制于人
华为、中兴事件说明：核心技术受制于人，产业可能一天之内瘫痪（倪光南院士）数据泄密
棱镜门说明：机密数据放在国外数据库有很大泄露风险打破垄断
芯片、基础软件、中间件长期被美国企业垄断，自主可控关乎国家战略❓ 替什么？（"正面战场"对照表）
| 领域 | 国外垄断 | 国产替代 |
|---|---|---|
| CPU（心脏） | Intel、AMD、IBM | 龙芯、飞腾、申威 |
| 操作系统（大脑） | Windows（PC）、安卓/iOS（移动） | 国产 Linux：银河麒麟、中标麒麟、优麒麟、深度、中科方德等 |
| 数据库 / 存储 | "IOE"= IBM 服务器、Oracle 数据库、EMC 存储 | 达梦、金仓、南大通用、神通 |
| 应用软件 | Office、Adobe | 金蝶等（ERP/CRM/OA/MES），国产化程度相对较高 |
为什么 Linux 受青睐？因为源代码公开，发现漏洞可直接从源码层修补，二次开发还能节省研发费用。
🏭 信创产业
信创 = 信息技术应用创新行业。在"微软停更""棱镜门""中兴华为"等事件敲响警钟后乘势而起，旨在通过重构 IT 软硬件各环节，建立我国自主可控的 IT 产业标准和生态，逐步实现"去美化"。从云计算、软件、硬件、安全四方面推进，是一项国家战略。
13本章小结
- 风险管理是持续的 PDCA 过程，目标是把风险维持在可接受水平、抓主要矛盾，倡导适度安全。
- 九大术语连成风险链：威胁源→威胁方式→利用脆弱性→作用于资产→产生影响=风险；控制措施切断链条。
- 流程：建立背景 → 风险评估 → 风险处理 → 批准监督（四阶段）+ 监控审查、沟通咨询（两贯穿）。
- 四类处置：降低、转移、规避、接受；降低风险从五个方面入手。
- 风险评估流程 4R；风险计算 R=R(L(T,V), F(Ia,Va))；要素 1~5 级赋值。
- 分析方法：定性（高中低/矩阵法）、定量（ALE = AV×EF×ARO、ROSI）、半定量（相乘法）、综合（AHP）。
- 风险管理贯穿生命周期五阶段（规划/设计/实施/运维/废弃）。
- 国产化替代：CPU（龙芯/飞腾/申威）、操作系统（国产 Linux/麒麟）、数据库（IOE→达梦/金仓）；信创产业。
📄 配套作业1（风险管理为本章重点） 📘 上一章 CH1 信息安全概论
⭐重点例题（作业1 风险管理考点精讲）
下面把作业1中与风险管理相关的题目挑出来，讲思路、讲为什么，学会一道就能举一反三。
选项里有威胁源、资产、脆弱性、残余风险。关键词是"有价值、要保护"——这正是资产的定义。威胁源是"发起攻击的主体"，脆弱性是"弱点"，残余风险是"采取措施后剩下的风险"，都不沾边。
要分清三个角色：威胁源（黑客组织实施攻击）、威胁/影响（洪水断电、业务中断）、脆弱性（系统自身的弱点）。"系统口令策略过弱且未及时打补丁"描述的是系统自身的弱点，所以是脆弱性。
四类处置是固定的：降低、转移、规避、接受。选项里出现"隐藏风险"——没有这一类，属于干扰项。
必背公式：SLE = AV × EF（单次损失=资产价值×暴露系数），ALE = SLE × ARO = AV × EF × ARO（年度损失=单次损失×年发生率）。注意都是相乘，不是相加，也不是相除。
定性=用"高/中/低"等级描述，靠经验，不需要量化金额；定量才用货币金额。"不需要评估者经验"是错的（定性恰恰依赖经验），"只能用于资产定价"也错。
正确顺序：评估准备 → 风险要素识别 → 风险分析 → 风险结果判定（对应 4R：准备/识别/计算/报告）。把"风险处理放最前面"或"先验收后评估"都是错的。
核心结论：风险评估是风险管理中的一个阶段（起点和基础环节）；风险管理是包含评估、决策、控制的持续 PDCA 过程。"只包含一次评估""不需要持续改进"都错。
PPDR = 策略(Policy)、防护(Protection)、检测(Detection)、响应(Response)。核心不等式 Pt > Dt + Rt：防护时间要大于检测时间 + 响应时间之和，系统才安全；否则就存在"暴露时间"(Et = Dt+Rt−Pt)。
套用四要素：资产=学生个人信息表；威胁=信息泄露/内部人员滥用；脆弱性=数据权限长期未梳理、多部门共享同一导出账号；影响=个人隐私泄露、学校声誉受损。处置：梳理权限+收回共享账号(降低)、敏感数据脱敏后才允许导出(降低)、对极敏感数据干脆不外发(规避)。最后用沟通咨询(培训意识)+监控审查(审计导出日志)+批准监督(决策层审批整改)形成闭环。
威胁方式=远程桌面爆破/弱口令登录 + 勒索软件加密；脆弱性=3389暴露公网、口令多年未改、备份与数据同机（无离线备份）。应急按检测→抑制→根除→恢复→跟进：断网隔离(抑制)、清除木马(根除)、用离线备份恢复(恢复)、复盘整改(跟进)。长期措施(风险管理)：关闭/限制3389、强口令+定期改、3-2-1异地离线备份、补丁管理、最小权限。
🎯自测（点击展开参考要点）
风险评估和风险管理有什么区别与联系？
画出风险术语的关系链，并说明控制措施的作用。
四类风险处置方法分别适用什么场景？
写出 ALE 的完整计算公式，并解释每个符号。
定性、定量、半定量分析的核心区别？
风险管理的四阶段两贯穿是什么？
国产化替代主要替代哪些核心软硬件？
系统生命周期五阶段各做什么风险管理？
📝强化题库（60 选择 + 32 填空 = 92 题）
覆盖本章全部知识点，含 【作业举一反三】 变体题。选择题点选即时判分；填空题输入后点"检查"或"显示答案"。