信息安全风险评估方法2022版本区别解读

《信息安全风险评估规范》（GB/T 20984-2007）与《信息安全风险评估方法》（GB/T 20984-2022）核心区别解读。

一、标准定位与目标差异

版本定位与目标
2007版（规范）- 框架性指南：定义风险评估的基本原则、流程和要素关系
- 合规导向：规范组织内风险评估实施，聚焦资产保护与脆弱性修复
2022版（方法）- 操作性技术标准：聚焦具体实施流程、分析模型与技术工具应用
- 业务驱动：强化动态威胁场景适应性（如云、物联网），支持业务安全优先级决策

二、核心理念升级

维度2007版（规范）2022版（方法）
核心导向资产保护（Asset-centric）业务安全（Business-driven）
评估逻辑基于资产脆弱性与威胁可能性计算风险通过攻击路径分析评估威胁防御有效性
风险视角单系统/资产的局部风险业务全链条的整体风险

三、流程与方法演进

1. 评估流程优化
  • 旧版（6阶段）准备 → 资产识别 → 威胁识别 → 脆弱性识别 → 风险计算 → 结果判定
    侧重：单点风险计算，流程相对独立。
  • 新版（4阶段）准备 → 风险识别 → 风险分析 → 风险评价
    新增：跨部门沟通协商机制，强化风险治理协同性。
2. 技术方法创新
  • 威胁行为能力评估结合威胁频率、攻击者能力及防御成熟度综合赋值。
  • 资产价值量化新增“业务承载性”（如中断影响）和“合规依赖性”指标。

四、适用场景扩展

版本适用场景特点
2007版传统信息系统环境，适用于静态资产的合规性风险评估
2022版覆盖云计算、物联网等新兴技术场景，支持动态业务连续性风险分析

五、文档输出要求

版本输出要求
2007版碎片化资产风险清单，侧重单一系统风险暴露点描述
2022版双层次报告
1. 业务级风险总览（支持管理层决策）
2. 系统级详细风险（指导技术实施）

总结对比表

对比项GB/T 20984-2007（规范）GB/T 20984-2022（方法）
评估对象信息系统资产（数据/硬件/软件）业务资产、系统资产、组件资产三层架构
风险计算核心脆弱性严重程度 × 资产价值威胁行为概率 × 防御失效可能性 × 业务影响
合规导向满足基础安全合规要求符合新型网络攻防对抗需求
治理思路被动防护（修复脆弱性）主动防御（攻击路径分析与业务优先级决策）

核心结论

2022版标准通过以下升级，更贴合实战化网络安全需求：

  1. 从资产到业务以业务连续性为核心，覆盖全链条风险。
  2. 从静态到动态适配云、物联网等新兴场景，强化威胁建模。
  3. 从单点到协同通过跨部门协作与双层报告，实现风险治理闭环。

这一转型标志着我国信息安全风险评估从“合规驱动”向“能力驱动”的范式跃迁。