6.3.1.1 基本原则

1.标准性原则
信息系统的安全风险评佑，应按照GB/T 20984-2007 中规定的评估流程进行实施，包括各阶段'性的评估工作。
2. 关键业务原则
信息安全风险评估应以被评估组织的关键业务作为评估工作的核心，把涉及这些业务的相关网络与系统，包括基础网络、业务网络、应用基础平台、业务应用平台等作为评估的重点。
3. 可控性原则
(1)服务可控性
评估方应事先在评估工作沟通会议中向用户介绍评估服务流程，明确需要得到被评估组织协作的工作内容，确保安全评估服务工作的顺利进行。
(2)人员与信息可控性
所有参与评估的人员应签署保密协议，以保证项目信息的安全:应对工作过程数据和结果数据严格管理，未经授权不得泄露给任何单位和个人。
(3)过程可控性
应按照项目管理要求，成立项目实施团队，项目组长负责制，达到项目过程的可控。
(4) 工具可控性
安全评估人员所使用的评估工具应该事先通告用户，并在项目实施前获得用户的许可，包括产品本身、测试策略等。
4. 最小影响原则
对于在线业务系统的风险评估，应采用最小影响原则，即首要保障业务系统的稳定运行，而对于需要进行攻击性测试的工作内容，需与用户沟通并进行应急备份，同时选择避开业务的高峰时间进行。
6.3.1.2 基本流程
• GB/T 20984-2007 规定了风险评估的实施流程，根据流程中的各项工作内容，一般将风险评估实施划分为评估准备、风险要素识别、风险分析与风险处置四个阶段。其中，评估准备阶段工作是对评估实施有效性的保证，是评估工作的开始:风险要素识别阶段工作主要是对评估活动中的各类关键要素资产、威胁、脆弱性、安全措施进行识别与赋值:风险分析阶段工作主要是对识别阶段中获得的各类信息进行关联分析，并计算风险值:风险处置建议工作主要针对评估出的风险，提出相应的处置建议，以及按照处置建议实施安全加固后进行残余风险处置等内容。