【 5个概念 】
风险评估流程
难易分类
难懂概念
1 识别资产
概念解释：明确风险评估对象及其价值、位置、责任和依赖。
主要对应的问题：在订单系统的实际工作中，怎样确认“识别资产”已经做到“明确风险评估对象及其价值、位置、责任和依赖”，并能用配置、日志、文件或测试结果证明？
特殊异常情况：新增第三方接口后，识别资产遗漏7个关键环节
2026年10月14日，一家企业在订单系统中执行识别资产。常规抽查的20条记录均显示正常；当天新增第三方接口并处理15467条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“明确风险评估对象及其价值、位置、责任和依赖”重新核查，才找到未被原流程覆盖的环节。这个实例说明：识别资产需要在真实业务变化和边界条件下接受验证。
2 识别威胁与脆弱性
概念解释：分析可能造成损害的因素和可被利用的弱点。
主要对应的问题：在订单系统的实际工作中，怎样确认“识别威胁与脆弱性”已经做到“分析可能造成损害的因素和可被利用的弱点”，并能用配置、日志、文件或测试结果证明？
特殊异常情况：新增第三方接口后，识别威胁与脆弱性遗漏1个关键环节
2026年10月15日，一家企业在订单系统中执行识别威胁与脆弱性。常规抽查的20条记录均显示正常；当天新增第三方接口并处理15504条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“分析可能造成损害的因素和可被利用的弱点”重新核查，才找到未被原流程覆盖的环节。这个实例说明：识别威胁与脆弱性需要在真实业务变化和边界条件下接受验证。
3 分析可能性与影响
概念解释：判断风险发生概率和后果严重程度。
主要对应的问题：什么因素可能造成损害，发生可能性和后果有多大，现有措施能否把风险控制到可接受范围？
特殊异常情况：单项风险很低，多项条件汇聚后形成重大影响
某平台分别保存年龄区间、邮政编码、商品类别和分钟级下单时间，单个字段都很普通。分析人员把4类字段与公开信息关联后，在10万名顾客中锁定了3个人。这个实例说明：分析可能性与影响会随数据组合、使用环境和利用条件发生变化。
4 制定措施
概念解释：选择规避、降低、转移或接受等风险处置方式。
主要对应的问题：在订单系统的实际工作中，怎样确认“制定措施”已经做到“选择规避、降低、转移或接受等风险处置方式”，并能用配置、日志、文件或测试结果证明？
特殊异常情况：新增第三方接口后，制定措施遗漏3个关键环节
2026年10月17日，一家企业在订单系统中执行制定措施。常规抽查的20条记录均显示正常；当天新增第三方接口并处理15578条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“选择规避、降低、转移或接受等风险处置方式”重新核查，才找到未被原流程覆盖的环节。这个实例说明：制定措施需要在真实业务变化和边界条件下接受验证。
5 验证复评
概念解释：检查措施有效性并重新评估剩余风险。
主要对应的问题：要验证哪个对象、条件和预期结果，正常路径与异常路径是否都被覆盖，发现的问题是否真正修复？
特殊异常情况：常规测试全部通过，边界条件下控制措施立即失效
测试人员执行32个标准用例全部通过，随后使用一个过期令牌连续发送500次请求，并把订单编号换成其他部门的编号，系统仍返回完整数据。这个实例说明：验证复评需要覆盖正常、异常和边界条件，并保存可复现证据。