【 13个概念 】
风险评估
难易分类
简单概念
1 资产
概念解释：风险评估中需要保护的数据、系统、服务、人员和业务资源。
实例：2026年7月23日，公司在订单系统中登记并使用一项“资产”。工作人员可以指出它的具体对象、所在位置、当前状态和对应记录。
易混淆：把“资产”和“数据资产”混为一谈。资产的关键是“风险评估中需要保护的数据、系统、服务、人员和业务资源”；数据资产关注的是另一种对象、位置、作用或处理关系。
2 风险登记表
概念解释：记录资产、威胁、脆弱性、影响、等级、措施和状态的表格。
实例：数据安全人员把订单系统的对象、责任、状态和检查结果逐项登记到一份表中，并持续更新。这份可查询的记录就是风险登记表。
易混淆：把“风险登记表”和“问题清单”混为一谈。风险登记表的关键是“记录资产、威胁、脆弱性、影响、等级、措施和状态的表格”；问题清单关注的是另一种对象、位置、作用或处理关系。
难懂概念
3 威胁
概念解释：可能利用脆弱性并造成损害的事件、行为或条件。
主要对应的问题：在订单系统的实际工作中，怎样确认“威胁”已经做到“可能利用脆弱性并造成损害的事件、行为或条件”，并能用配置、日志、文件或测试结果证明？
特殊异常情况：新增第三方接口后，威胁遗漏6个关键环节
2026年10月24日，一家企业在订单系统中执行威胁。常规抽查的20条记录均显示正常；当天新增第三方接口并处理12840条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“可能利用脆弱性并造成损害的事件、行为或条件”重新核查，才找到未被原流程覆盖的环节。这个实例说明：威胁需要在真实业务变化和边界条件下接受验证。
4 脆弱性
概念解释：资产或控制中可能被威胁利用的弱点。
主要对应的问题：在订单系统的实际工作中，怎样确认“脆弱性”已经做到“资产或控制中可能被威胁利用的弱点”，并能用配置、日志、文件或测试结果证明？
特殊异常情况：新增第三方接口后，脆弱性遗漏7个关键环节
2026年10月25日，一家企业在订单系统中执行脆弱性。常规抽查的20条记录均显示正常；当天新增第三方接口并处理12877条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“资产或控制中可能被威胁利用的弱点”重新核查，才找到未被原流程覆盖的环节。这个实例说明：脆弱性需要在真实业务变化和边界条件下接受验证。
5 影响
概念解释：风险发生后对个人、业务、组织和公共利益造成的后果。
主要对应的问题：什么因素可能造成损害，发生可能性和后果有多大，现有措施能否把风险控制到可接受范围？
特殊异常情况：单项风险很低，多项条件汇聚后形成重大影响
某平台分别保存年龄区间、邮政编码、商品类别和分钟级下单时间，单个字段都很普通。分析人员把4类字段与公开信息关联后，在10万名顾客中锁定了3个人。这个实例说明：影响会随数据组合、使用环境和利用条件发生变化。
6 可能性
概念解释：风险发生的概率或频度。
主要对应的问题：什么因素可能造成损害，发生可能性和后果有多大，现有措施能否把风险控制到可接受范围？
特殊异常情况：单项风险很低，多项条件汇聚后形成重大影响
某平台分别保存年龄区间、邮政编码、商品类别和分钟级下单时间，单个字段都很普通。分析人员把4类字段与公开信息关联后，在10万名顾客中锁定了3个人。这个实例说明：可能性会随数据组合、使用环境和利用条件发生变化。
7 风险等级
概念解释：综合可能性和影响确定的风险级别。
主要对应的问题：什么因素可能造成损害，发生可能性和后果有多大，现有措施能否把风险控制到可接受范围？
特殊异常情况：单项风险很低，多项条件汇聚后形成重大影响
某平台分别保存年龄区间、邮政编码、商品类别和分钟级下单时间，单个字段都很普通。分析人员把4类字段与公开信息关联后，在10万名顾客中锁定了3个人。这个实例说明：风险等级会随数据组合、使用环境和利用条件发生变化。
8 风险描述
概念解释：按照威胁—脆弱性—后果结构描述风险。
主要对应的问题：什么因素可能造成损害，发生可能性和后果有多大，现有措施能否把风险控制到可接受范围？
特殊异常情况：单项风险很低，多项条件汇聚后形成重大影响
某平台分别保存年龄区间、邮政编码、商品类别和分钟级下单时间，单个字段都很普通。分析人员把4类字段与公开信息关联后，在10万名顾客中锁定了3个人。这个实例说明：风险描述会随数据组合、使用环境和利用条件发生变化。
9 风险规避
概念解释：停止或改变导致风险的业务和处理活动。
主要对应的问题：什么因素可能造成损害，发生可能性和后果有多大，现有措施能否把风险控制到可接受范围？
特殊异常情况：单项风险很低，多项条件汇聚后形成重大影响
某平台分别保存年龄区间、邮政编码、商品类别和分钟级下单时间，单个字段都很普通。分析人员把4类字段与公开信息关联后，在10万名顾客中锁定了3个人。这个实例说明：风险规避会随数据组合、使用环境和利用条件发生变化。
10 风险降低
概念解释：通过技术和管理措施降低风险可能性或影响。
主要对应的问题：什么因素可能造成损害，发生可能性和后果有多大，现有措施能否把风险控制到可接受范围？
特殊异常情况：单项风险很低，多项条件汇聚后形成重大影响
某平台分别保存年龄区间、邮政编码、商品类别和分钟级下单时间，单个字段都很普通。分析人员把4类字段与公开信息关联后，在10万名顾客中锁定了3个人。这个实例说明：风险降低会随数据组合、使用环境和利用条件发生变化。
11 风险转移
概念解释：通过保险、合同或外包转移部分风险责任。
主要对应的问题：什么因素可能造成损害，发生可能性和后果有多大，现有措施能否把风险控制到可接受范围？
特殊异常情况：单项风险很低，多项条件汇聚后形成重大影响
某平台分别保存年龄区间、邮政编码、商品类别和分钟级下单时间，单个字段都很普通。分析人员把4类字段与公开信息关联后，在10万名顾客中锁定了3个人。这个实例说明：风险转移会随数据组合、使用环境和利用条件发生变化。
12 风险接受
概念解释：经审批并持续监测后接受剩余风险。
主要对应的问题：什么因素可能造成损害，发生可能性和后果有多大，现有措施能否把风险控制到可接受范围？
特殊异常情况：单项风险很低，多项条件汇聚后形成重大影响
某平台分别保存年龄区间、邮政编码、商品类别和分钟级下单时间，单个字段都很普通。分析人员把4类字段与公开信息关联后，在10万名顾客中锁定了3个人。这个实例说明：风险接受会随数据组合、使用环境和利用条件发生变化。
13 剩余风险
概念解释：采取控制措施后仍然存在的风险。
主要对应的问题：什么因素可能造成损害，发生可能性和后果有多大，现有措施能否把风险控制到可接受范围？
特殊异常情况：单项风险很低，多项条件汇聚后形成重大影响
某平台分别保存年龄区间、邮政编码、商品类别和分钟级下单时间，单个字段都很普通。分析人员把4类字段与公开信息关联后，在10万名顾客中锁定了3个人。这个实例说明：剩余风险会随数据组合、使用环境和利用条件发生变化。