具体工作程序

为了对信息技术系统的运行风险进行适当的评估，需要建立一个工作程序系统，详细描述为此目的进行的每一项操作。工作程序的制定需要考虑遵守该领域的现有条例，并确保这些活动的有效性。从这个意义上说，可以认为是由专业组织和协会制定和公布的国家或国际标准。

因此，观察这些过程需要以下工作：识别和评估现有威胁和漏洞以及相关风险的方式；设定影响值、影响概率和可能性，以针对已识别的风险；风险评估的方式；确定减轻或消除风险的措施的方式；选择减轻或消除风险的最佳措施的方式。

系统特征

这一步提供了关于信息技术系统的资源、数据和边界的信息。非常重要的一点是，要定义所分析的资源之间的特定兴趣领域、链接和依赖关系。对于这一步，负责人必须收集关于硬件、软件、数据和信息、系统接口、系统任务、支持和使用信息技术系统的人员、系统安全架构、系统安全策略、技术、运营和管理控制的信息。

在收集信息时，相关人员必须应用上述程序，并应使用以下一些技术：问卷、现场访谈、文档审查和自动扫描工具。该活动可以贯穿风险评估流程的所有步骤。

威胁识别

在这一步中，确定了潜在的威胁源。威胁是特定漏洞被外部因素有意或无意利用以产生相关风险的可能性。如果没有可以利用的漏洞，威胁源就不能代表风险的原因。威胁源被定义为可能对信息技术系统造成危害的任何情况或事件。

威胁可以基于人为(有意或无意)或非人为(操作环境的外部或内部)行为。人类威胁最常发生，也是最危险的。这一类别包括无意行为，如疏忽或错误以及故意攻击，如未经授权访问机密信息、破坏重要信息、信息盗窃、滥用数据、伪造信息、破坏系统。

非人类威胁与人类行为没有直接关系，可能是洪水、地震、山体滑坡、雪崩、电源电压下降、电压波动等。常见的分类法是CIA(机密性、完整性、可用性)，它定义了组织数据的特征。另一种分类法叫做STRIDE，它包括识别各种威胁类型。STRIDE考虑来自攻击者的威胁透视。

漏洞识别

此阶段的目的是识别可能被潜在威胁利用的系统漏洞(缺陷/弱点)。漏洞是由系统的弱点表现出来的，如果被某些意外事件或故意行为利用，可能会导致违反系统的安全性。建议的漏洞识别方法必须考虑漏洞的来源、性能和系统开发的要求。识别漏洞的方法取决于信息技术系统的性质和系统开发的阶段：

1、如果信息技术系统处于设计阶段，识别漏洞应侧重于安全策略、计划的安全程序、系统要求和安全产品经销商的分析。

2、如果信息技术系统正在实施中，识别漏洞应侧重于特定信息，如文档中描述的系统计划功能、测试结果和以前的评估，或者被指定执行实施的人员完成其任务的方式。

3、如果信息技术系统可以运行，识别漏洞应该包括分析安全系统的具体特征以及用于保护系统的安全、技术和操作措施，或指定使用系统的人员完成其任务的方式。漏洞分析过程中的一个重要操作是识别漏洞来源。其中一些来源是以前的信息技术系统风险评估文档、系统审计报告、安全审查报告、漏洞列表，如NIST I-CAT漏洞数据库、安全顾问和系统软件安全分析。为了识别系统漏洞，使用了不同的测试方法。

4、自动漏洞扫描工具，用于自动扫描一组主机或网络中已知的易受攻击服务。

5、安全测试和评估是在风险评估过程中用于识别信息技术系统漏洞的特殊技术。系统安全测试的目的是测试已经实施的安全控制的效率。

6、系统渗透系统，可用于安全控制测试之外，以确保几个信息技术系统组件的安全。本活动的目标是根据威胁源测试信息技术系统，并确定系统保护方案中的潜在缺陷。

7、作为这一步骤的结果，负责风险评估的工作人员设计了一份安全要求清单，其中包括基本的安全标准、程序、流程以及在管理、操作和技术等安全领域与信息技术系统相关的信息传输。

【作者声明】本文编译自Elena Ramona STROIE的“Security Risk Management - Approaches and Methodology”。