《信息安全风险评估规范国家标准理解与实施》为GB／T 20984—2007《信息安全技术 信息安全风险评估规范》的宣贯教材，对广大读者理解与实施该标准具有重要的参考价值。
    《信息安全风险评估规范国家标准理解与实施》介绍了国内外信息安全风险评估发展的现状，给出了GB／T 20984 —2007的主要内容、基础理论、实施流程和组织管理等内容，并对风险评估的基本方法、基础工具、管理控制以及在等级保护制度建设中的作用等方面进行了阐述，最后给出了依据国标实施风险评估的4个实践案例。《信息安全风险评估规范国家标准理解与实施》旨在使信息安全风险评估作为科学的方法真正能够为大众所接受、理解和运用，可适应不同层次和不同专业读者的需求。

    第1章  信息安全风险评估发展概况
    1.1  信息安全风险评估基本概念
    信息安全风险是人为或自然的威胁利用系统存在的脆弱性引发的安全事件，并由于受损信息资产的重要性而对机构造成的影响。
    信息安全风险评估，则是指依据国家风险评估有关管理要求和技术标准，对信息系统及由其存储、处理和传输的信息的机密性、完整性和可用性等安全属性进行科学、公正的综合评价的过程。通过对信息及信息系统的重要性、面临的威胁、其自身的脆弱性以及已采取安全措施有效性的分析，判断脆弱性被威胁源利用后可能发生的安全事件以及其所造成的负面影响程度来识别信息安全的安全风险。
    信息安全风险评估是建立信息安全保障机制中的一种科学方法。对信息系统而言，存在风险并不意味着不安全，只要风险控制在可接受的范围内，就可以达到系统稳定运行的目的。风险评估的结果为保障信息系统的安全建设、稳定运行提供了技术参考。在规划与设计阶段，风险评估的结果是安全需求的来源，为信息系统的安全建设提供依据；在系统运行维护阶段，由于信息系统的动态性，需要定期地进行风险评估，以了解、掌握系统安全状态，风险评估是保证系统安全的动态措施。同时，风险评估是信息系统安全等级确定及建设过程中一种不可或缺的技术手段。
    信息安全风险评估是信息安全保障体系建立过程中的重要的评价方法和决策机制。没有准确及时的风险评估，将使得各个机构无法对其信息安全的状况做出准确的判断。因为任何信息系统都会有安全风险，信息安全建设的宗旨之一，就是在综合考虑成本与效益的前提下，通过安全措施来控制风险，使残余风险降低到可接受的范围内。
    1.2  信息安全风险评估重要意义
    通过风险评估，能及早发现和解决问题，防患于未然。当前，尤其迫切需要对我国信息化发展过程中形成的基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统进行持续的风险评估，随时掌握我国重要信息系统和基础信息网络的安全状态，及时采取有针对性的应对措施，为建立全方位的国家信息安全保障体系提供服务。
    ……

第1章  信息安全风险评估发展概况
1.1  信息安全风险评估基本概念
1.2  信息安全风险评估重要意义
1.3  国外信息安全风险评估发展状况
1.4  我国信息安全风险评估发展现状

第2章 GB／T 20984-2007《信息安全技术 信息安全风险评估规范》编制情况和主要内容
2.1  任务来源和编制原则
2.2  编制过程
2.3  标准主要内容概述
2.4  与相关标准的对比和分析
2.5  主要意见的处理经过和依据
2.6  贯彻标准的要求和措施建议
2.7  预期经济和社会效益

第3章 GB／T 20984-2007《信息安全技术 信息安全风险评估规范》基础理论
3.1  信息安全风险评估原则和依据
3.2  信息安全风险评估术语
3.3  信息安全风险评估基础模型
3.4  风险评估方法综述

第4章  GB／T 20984-2007《信息安全技术 信息安全风险评估规范》实施流程
4.1  风险评估准备
4.2  资产识别
4.3  威胁识别
4.4  脆弱性识别
4.5  已有安全措施确认
4.6  风险分析
4.7  风险评估文档记录
4.8  信息系统生命周期各阶段的风险评估

第5章  GB／T 20984-2007《信息安全技术 信息安全风险评估规范》风险评估组织管理
5.1  信息安全风险评估工作形式
5.2  风险评估中的角色及职责
5.3  风险评估角色的适用情况
5.4  风险评估的综合考核指标
5.5  对信息系统生命周期的支持
5.6  方案论证、实施与审批

第6章 信息安全风险评估基本方法
6.1  典型的风险评估方法与理论
6.2  各种风险评估方法比较
6.3  风险的计算方法

第7章  信息安全风险评估基础工具
7.1  风险评估工具
7.2  风险计算工具
7.3  风险评估数据收集工具

第8章  信息安全风险管理框架与流程
8.1  风险管理概述
8.2  对象确立
8.3  风险评估
8.4  风险控制
8.5  审核批准
8.6  监控与审查
8.7  沟通与咨询

第9章  等级保护与风险评估
9.1  信息安全等级保护发展历程
9.2  等级保护实质内容
9.3  信息安全等级保护标准体系
9.4  信息安全等级保护与风险评估的关系

第10章  信息系统全面评估应用案例
10.1  评估依据及原则
10.2  需求配合及验收方案
10.3  评估实施流程
10.4  项目进度计划

第11章  银行国际业务系统风险评估案例
11.1  风险评估概述
11.2  ××银行国际业务系统概况
11.3  资产识别
11.4  威胁识别
11.5  脆弱性识别
11.6  风险分析

第12章 电信运营企业风险评估案例
12.1  项目概述
12.2  风险评估准备阶段
12.3  信息收集阶段
12.4  风险要素识别与分析
12.5  风险分析阶段
12.6  安全加固及优化

第13章 电子政务网络风险评估案例
13.1 项目概述
13.2  政务网络风险评估准备阶段
13.3  政务网络关键业务和信息资产识别与分析
13.4  政务网络信息系统威胁与脆弱性识别和分析
13.5  政务网络信息安全风险的评估与确定

第14章 骨干传送网风险评估案例
14.1  评估范围和分类
14.2 网络和业务资产分析
14.3  威胁分析
14.4  脆弱性分析
14.5  风险分析
第1章  信息安全风险评估发展概况
1.1  信息安全风险评估基本概念
1.2  信息安全风险评估重要意义
1.3  国外信息安全风险评估发展状况
1.4  我国信息安全风险评估发展现状

第2章 GB／T 20984-2007《信息安全技术 信息安全风险评估规范》编制情况和主要内容
2.1  任务来源和编制原则
2.2  编制过程
2.3  标准主要内容概述
2.4  与相关标准的对比和分析
2.5  主要意见的处理经过和依据
2.6  贯彻标准的要求和措施建议
2.7  预期经济和社会效益

第3章 GB／T 20984-2007《信息安全技术 信息安全风险评估规范》基础理论
3.1  信息安全风险评估原则和依据
3.2  信息安全风险评估术语
3.3  信息安全风险评估基础模型
3.4  风险评估方法综述

第4章  GB／T 20984-2007《信息安全技术 信息安全风险评估规范》实施流程
4.1  风险评估准备
4.2  资产识别
4.3  威胁识别
4.4  脆弱性识别
4.5  已有安全措施确认
4.6  风险分析
4.7  风险评估文档记录
4.8  信息系统生命周期各阶段的风险评估

第5章  GB／T 20984-2007《信息安全技术 信息安全风险评估规范》风险评估组织管理
5.1  信息安全风险评估工作形式
5.2  风险评估中的角色及职责
5.3  风险评估角色的适用情况
5.4  风险评估的综合考核指标
5.5  对信息系统生命周期的支持
5.6  方案论证、实施与审批

第6章 信息安全风险评估基本方法
6.1  典型的风险评估方法与理论
6.2  各种风险评估方法比较
6.3  风险的计算方法

第7章  信息安全风险评估基础工具
7.1  风险评估工具
7.2  风险计算工具
7.3  风险评估数据收集工具

第8章  信息安全风险管理框架与流程
8.1  风险管理概述
8.2  对象确立
8.3  风险评估
8.4  风险控制
8.5  审核批准
8.6  监控与审查
8.7  沟通与咨询

第9章  等级保护与风险评估
9.1  信息安全等级保护发展历程
9.2  等级保护实质内容
9.3  信息安全等级保护标准体系
9.4  信息安全等级保护与风险评估的关系

第10章  信息系统全面评估应用案例
10.1  评估依据及原则
10.2  需求配合及验收方案
10.3  评估实施流程
10.4  项目进度计划

第11章  银行国际业务系统风险评估案例
11.1  风险评估概述
11.2  ××银行国际业务系统概况
11.3  资产识别
11.4  威胁识别
11.5  脆弱性识别
11.6  风险分析

第12章 电信运营企业风险评估案例
12.1  项目概述
12.2  风险评估准备阶段
12.3  信息收集阶段
12.4  风险要素识别与分析
12.5  风险分析阶段
12.6  安全加固及优化

第13章 电子政务网络风险评估案例
13.1 项目概述
13.2  政务网络风险评估准备阶段
13.3  政务网络关键业务和信息资产识别与分析
13.4  政务网络信息系统威胁与脆弱性识别和分析
13.5  政务网络信息安全风险的评估与确定

第14章 骨干传送网风险评估案例
14.1  评估范围和分类
14.2 网络和业务资产分析
14.3  威胁分析
14.4  脆弱性分析
14.5  风险分析