6.4 實施階段的風險評估

實施階段風險評估的目的是根據系統安全需求和運行環境對系統開發、實施過程進行風險識別，并對系統建成后的安全功能進行驗證。根據設計階段分析的威脅和制定的安全措施，在實施及驗收時進行質量控制。
基于設計階段的資產列表、安全措施，實施階段應對規劃階段的安全威脅進行進一步細分，同時評估安全措施的實現程度，從而確定安全措施能否抵御現有威脅、脆弱性的影響。實施階段風險評估主要對系統的開發與技術/產品獲取、系統交付實施兩個過程進行評估。
開發與技術/產品獲取過程的評估要點包括：
a）法律、政策、適用標準和指導方針：直接或間接影響信息系統安全需求的特定法律；影響信息系統安全需求、產品選擇的政府政策、國際或國家標準；
b）信息系統的功能需要：安全需求是否有效地支持系統的功能；
c）成本效益風險：是否根據信息系統的資產、威脅和脆弱性的分析結果，確定在符合相關法律、政策、標準和功能需要的前提下選擇最合適的安全措施；
d）評估保證級別：是否明確系統建設后應進行怎樣的測試和檢查，從而確定是否滿足項目建設、實施規范的要求。
系統交付實施過程的評估要點包括：
a）根據實際建設的系統，詳細分析資產、面臨的威脅和脆弱性；
b）根據系統建設目標和安全需求，對系統的安全功能進行驗收測試；評價安全措施能否抵御安全威脅；
c）評估是否建立了與整體安全策略一致的組織管理制度；
d）對系統實現的風險控制效果與預期設計的符合性進行判斷，如存在較大的不符合，應重新進行信息系統安全策略的設計與調整。
本階段風險評估可以采取對照實施方案和標準要求的方式，對實際建設結果進行測試、分析。