6.5 運行維護階段的風險評估

運行維護階段風險評估的目的是了解和控制運行過程中的安全風險，是一種較為全面的風險評估。評估內容包括對真實運行的信息系統、資產、威脅、脆弱性等各方面。
a）資產評估：在真實環境下較為細致的評估。包括實施階段采購的軟硬件資產、系統運行過程中生成的信息資產、相關的人員與服務等，本階段資產識別是前期資產識別的補充與增加；
b）威脅評估：應全面地分析威脅的可能性和影響程度。對非故意威脅導致安全事件的評估可以參照安全事件的發生頻率；對故意威脅導致安全事件的評估主要就威脅的各個影響因素做出專業判斷；
c）脆弱性評估：是全面的脆弱性評估。包括運行環境中物理、網絡、系統、應用、安全保障設備、管理等各方面的脆弱性。技術脆弱性評估可以采取核查、掃描、案例驗證、滲透性測試的方式實施；安全保障設備的脆弱性評估，應考慮安全功能的實現情況和安全保障設備本身的脆弱性；管理脆弱性評估可以采取文檔、記錄核查等方式進行驗證；
d）風險計算：根據本標準的相關方法，對重要資產的風險進行定性或定量的風險分析，描述不同資產的風險高低狀況。
運行維護階段的風險評估應定期執行；當組織的業務流程、系統狀況發生重大變更時，也應進行風險評估。重大變更包括以下情況（但不限于）：
a）增加新的應用或應用發生較大變更；
b）網絡結構和連接狀況發生較大變更；
c）技術平臺大規模的更新；
d）系統擴容或改造；
e）發生重大安全事件后，或基于某些運行記錄懷疑將發生重大安全事件；
f）組織結構發生重大變動對系統產生了影響。