7.3 評估安全風險

7.3.1　基本要求

應對在特定環境中運行該系統相關的安全風險進行標識與評價，并按照一定的方法對風險問題進行優先級排序。

7.3.2　選擇風險分析方法

7.3.2.1　

本要求項包括定義用于標識給定環境中的系統安全風險的方法，該方法是對安全風險進行分析、評估和比較；應該包括一個對風險進行分類和分級的方案，其依據是威脅、運行功能、已建立的系統脆弱性、潛在損失、安全需求等相關問題。

7.3.2.2　

選擇用于分析、評估和比較給定環境中系統安全風險所依據的方法、技術和準則。

7.3.3　標識安全風險

7.3.3.1　

標識該風險，認識這些威脅和脆弱性的利害關系，進而標識出威脅和脆弱性造成的影響；這些風險在選擇系統保護措施中應予以考慮。

7.3.3.2　標識威脅/脆弱性/影響三組合（風險）。

7.3.4　評估安全風險

7.3.4.1　標識每個風險出現的可能性。

7.3.4.2　評估與每個風險有關的風險。

7.3.5　評估總體不確定性

7.3.5.1

每種風險都有與之相關的不確定性；總體風險不確定性是在7.4.6“評估威脅的可能性”中已被標識的威脅、脆弱性和影響及其特征不確定性的積累、7.4.6“評估威脅的可能性”、7.5.4“收集脆弱性數據”以及7.3.6“安全風險優先級排列”。本要求項與7.6“建立保證論據”密切相關，因為證據能用于追蹤修改，從而在某種輸入下降低不確定性。

7.3.5.2　

評估與該風險有關的總體不確定性。

7.3.6　安全風險優先級排列

7.3.6.1　

已經被標識的風險應以組織優先權、風險出現的可能性與這些因素相關的不確定性和可用財力為依據進行排序；風險可以被減輕、避免、轉移或接受，也可以使用這些措施的組合。“減輕”這一措施能夠對付威脅、脆弱性、影響或風險本身；安全措施的選擇要適當考慮到7.10“指定安全要求”中的要求，業務優先級和整個系統體系結構。

7.3.6.2

按優先級對風險進行排列。

7.3.7　監視安全風險及其特征

7.3.7.1　

定期地檢查新的風險，本條與7.8.3“監視變化”中一般性監視活動緊密相聯。

7.3.7.2　監視安全風險頻度變化和風險特征的變化。