用途
本技能用于按照 NIST SP 800-30 Rev 1 方法论开展可辩护的网络安全风险评估。它产出的是对具体威胁、可能性与影响的分析，而不是针对某个框架的成熟度评分。成熟度说明实践有多成熟，风险评估说明什么可能伤害组织以及伤害有多严重。
适用时机包括：
- 其他框架要求将文档化风险分析作为强制输入时，例如 NIST CSF（ID.RA）、ISO 27001（Clause 6.1.2）、NIST RMF / 800-37（Prepare 与 Select 步骤）、SOC 2（CC3）、PCI DSS 或 HIPAA（§164.308(a)(1)(ii)(A)）。
- 建立或重大变更系统，需要在授权或上线前理解其风险时。
- 领导层要求组织最高风险排序，并附可向董事会或监管机构辩护的理由时。
- 建立或刷新企业风险登记册时。
主要能力
技能围绕 NIST SP 800-30 Rev 1 的四个步骤展开，其中步骤 1 和步骤 4 为评估的首尾，步骤 2 是分析核心。
- 准备评估：定义并记录目的、范围（组织层级 Tier 1/2/3、系统、时间范围）、假设与约束、信息源、风险模型与分析方法（因素与量表，如定性 Very Low–Very High 或半定量 0–10）。
- 开展评估：按顺序完成分析任务，包括识别威胁源（附录 D）、识别威胁事件（附录 E）、识别漏洞与易感条件（附录 F）、判定可能性（附录 G）、判定影响（附录 H）、确定风险（附录 I）。
- 沟通与共享结果：产出风险登记册与高管简报，按风险等级排序。
- 维护评估：定义刷新节奏与强制重新评估的触发条件，跟踪风险接受决策与处置进展。
- 推动处置决策：将排序后的登记册交给风险负责人，选择缓解、转移、规避或接受，并在计划控制后重新评分残余风险。
使用方式
技能提供以下资源：
- 使用 assets/template.md 产出风险评估报告，内容包括：目的、范围与层级；假设、约束与风险模型；按类型划分的威胁源；威胁事件及其受影响资产与 ATT&CK 映射；漏洞与易感条件；风险登记册表格（ID、威胁事件、资产、可能性、影响、风险等级、贡献漏洞、建议处置、负责人、残余风险）；面向领导层的最高风险摘要；维护计划。
- 使用 scripts/process.py 从风险输入 JSON 对登记册评分（可能性 × 影响 → 可配置矩阵上的风险等级），对风险排序并输出登记册表格。
适用场景
- CSF/ISO/SOC 2 需要风险分析：运行 800-30 产出这些框架所需的文档化评估，再将结果映射到其控制集。
- 新系统上线前：针对系统架构评估威胁事件，将结果输入授权（RMF Select/Authorize）决策。
- 董事会需要最高风险：交付排序后的登记册，影响以业务语言表达，并附明确处置建议。
- 事件后：重新评估受影响系统，事件更新可能性证据并可能暴露新的威胁事件。
- 年度刷新：依据当前威胁情报与控制变更重新评分，展示残余风险的逐年变化。
限制
使用前需要满足以下前提：
- 范围内资产、系统及其处理信息类型的清单（系统边界已定义）。
- 可访问威胁情报（内部事件历史、行业 ISAC 源、MITRE ATT&CK），以将威胁事件可能性建立在观察到的行为上。
- 范围内系统的漏洞数据（扫描结果、渗透测试发现、配置/架构审查）。
- 业务背景：系统支持哪些任务/流程，以及机密性、完整性或可用性影响在业务上意味着什么。
- 在评分前就风险模型与量表达成一致，使结果可比较、可重复。
- 熟悉 NIST SP 800-39 的三层风险管理背景（组织、任务/业务流程、信息系统）。
关键概念
- 威胁源：威胁事件的原因，分为对抗性、意外、结构性或环境性。
- 威胁事件：可能造成伤害的具体行动或发生，对抗性情形映射到 ATT&CK。
- 漏洞：威胁事件可利用的弱点。
- 易感条件：增加或降低不利影响可能性的条件（如互联网暴露）。
- 可能性：威胁事件发起/发生并导致不利影响的机会。
- 影响：事件成功时的伤害程度。
- 风险：可能性与影响的函数，即对组织的预期伤害。
- 固有风险与残余风险：计划/实施控制之前与之后的风险。
- 风险容忍度/偏好：领导层愿意接受的风险水平。
- 风险登记册：风险、评分、负责人与处置的优先记录。
工具与系统
- NIST SP 800-30 Rev 1：方法论及附录 D–I 分类法。
- NIST SP 800-39：企业风险管理背景（三层）。
- MITRE ATT&CK：枚举并基于观察到的 TTP 支撑对抗性威胁事件。
- 漏洞扫描器/渗透测试报告：经验性漏洞输入。
- 威胁情报源：行业 ISAC、供应商源、内部事件历史，用于可能性支撑。
- GRC/风险登记册工具：电子表格，或 ServiceNow GRC、Archer、OneTrust 等平台。
- FAIR（可选）：若领导层希望以美元区间而非定性区间表达风险，可采用定量模型。