安全管理与风险评估
本域考查风险评估的方法与流程、风险处置策略、等级保护工作环节与 ISMS 体系，以及定量计算。题目常给资产价值与发生频率，要求算出风险值或选择处置方式。
风险评估要素与流程
- 四要素：资产、威胁、脆弱性、已有安全措施；风险由威胁利用脆弱性造成资产损失的可能性与影响共同决定。
- GB/T 20984 流程：业务识别-资产识别与赋值（保密、完整、可用三维）-威胁识别-脆弱性识别-风险计算-风险处置。
- 风险值 = f（资产价值，威胁发生频率，脆弱性严重程度），常用矩阵法分档后查表定级。
- 定量计算：SLE = 资产价值 × 暴露因子（EF）；ALE = SLE × 年发生频率（ARO）。
- 处置四法：降低（加控制措施）、转移（保险、外包）、规避（停止业务）、接受（剩余风险需管理层批准）。
等级保护工作环节
- 定级：按受侵害客体与侵害程度定为 1-5 级；一级自主保护，二级以上需备案与测评。
- 备案：到公安机关备案。
- 建设整改：按 GB/T 22239-2019 的技术要求与管理要求落实。
- 等级测评：三级每年至少一次，四级每半年一次。
- 监督检查：主管部门与公安机关依法开展。
管理体系
- ISO/IEC 27001 建立 ISMS，采用 PDCA 循环；ISO/IEC 27002 提供控制措施实践。
- 覆盖安全策略、组织与职责、人员安全（入职审查、离职权限回收）、意识培训、供应商管理与合规审计。
- 风险管理不是一次性活动，业务变更或出现新威胁时需复评。
工作示例
某机房资产价值 200 万元，火灾暴露因子 40%，历史上平均 5 年一次。SLE = 200 × 40% = 80 万元；ARO = 1/5 = 0.2；ALE = 80 × 0.2 = 16 万元/年。若气体灭火与早期探测方案年摊销 6 万元，可把 ARO 降到 0.05，则 ALE 降为 4 万元，年收益 12 万元大于成本 6 万元，处置方式为“降低”。
高频陷阱
- 把剩余风险当成“已消除”，它必须被明确接受。
- 定级对象是信息系统或网络，不是单位整体。
- ALE 计算中把 EF 与 ARO 混用。