２.1 步骤一：系统特征描述

　在对IT系统的风险进行评估中，第一步是定义工作范围。在这一步中，要确定IT系统的边界，以及组成系统的资源和信息。对IT系统的特征进行描述确立了风险评估工作的范围，描述了操作批准（或认可）边界，并为风险定义提供了必要的信息（如硬件、软件、系统连通性，负责部门或支持人员）。

　　２.1.1节对用来描述IT系统和其运行环境特征的相关信息进行了描述；

　　２.1.2节建议一些信息收集的技术，可以用来请求与IT系统处理环境相关的信息。　

　　本本文档中所描述的方法运用于对单个或多个相关联系统的评估。在后面的案例中，要在运用方法之前就定义好所关心的域、全部接口、及其依赖关系。

２.1.1 系统相关信息

　　识别IT系统风险要求对系统运行的环境有着非常深入的理解。因此从事风险评估的人员必须首先收集系统相关信息，通常这些信息分为如下几类：

　 ◆硬件
　　◆软件
　　◆系统界面（如内部和外部连接）
　　◆数据和信息
　　◆支持和使用该IT系统的人员
　　◆系统使命（如该IT系统运行的过程）
　　◆系统和数据的关键性（如系统对于机构的价值或重要性）
　　◆系统和数据的敏感性

其它和IT系统及其数据操作环境相关的信息包括但不限于以下：

　 ◆IT系统的功能的需求
　　◆系统的用户（如为IT系统提供技术支持的系统用户，使用IT系统完成业务功能的应用
用户等）
　　◆管理IT系统的系统安全策略（机构策略、联邦要求、法律、行业惯例等）
　　◆系统安全体系结构
　　◆当前网络拓扑（如网络拓扑图）
　　◆保护系统和数据的可用性、完整性和保密性的信息存储保护
　　◆IT系统中的信息流（如系统接口、系统输入和输出的流程图）
　　◆用于IT系统的技术类控制（如内置或外挂的用来对标识和鉴别、自主或强制的访问控
制、审计、残余信息保护、加密方法等提供支持的安全产品）
　　◆用于IT系统的管理类控制（如行为规则，安全计划等）
　　◆用于IT系统的操作类控制（如人员安全、备份、应急和恢复操作、系统维护、异地存
储、用户帐号的创建和删除流程、用户功能隔离的控制，比如特权用户访问和标准用
户访问等等）
　　◆IT系统的物理安全环境（如设施安全、数据中心策略等）
　　◆针对IT系统处理环境而实现的环境安全（如对湿度、水、电、污染、温度、和化学物
品的控制）
　　对于那些在启动或计阶段的系统，系统信息可以从设计或要求文档中提取。对于处于开发阶段的系统，有必要为未来的IT系统定义计划好关键的安全规则和属性。系统设计文档和系统安全计划可以为开发中系统提在安全方面的有用信息。
　　对于运行中的IT系统，要从其操作环境中收集IT系统的数据，包括系统配置、连接、归档或未归档的流程和实践方面的数据。因此，对系统描述可以基于由基础设施所提供的安全之上，或基于IT系统的未来安全计划之上。
2.1.2 信息收集技术

　　可以使用下列技术的一项或几项在其操作边界内获取IT系统相关的信息：

　　◆调查问卷：
　　要收集相关信息，风险评估人员可以设计一套关于IT系统中计划的或正在使用的管理和操作类控制的调查问卷。可将这套调查问卷发给那些设计或支持IT系统的技术和非技术类管理人员。调查问卷也可以在现场参观和面谈时使用

　　◆现场面谈：
　　和IT系统的支持或管理人员面谈有助于风险评估人员收集IT系统有用的信息（如系统是如何操作和管理的）。现场参观也能让风险评估人员观察并收集到IT系统在物理、环境、和操作方面的信息。附录A包括一些在和现场人员面谈中要问的问题范例，有助于更好地理解机构的运行特性。对于那些仍然在设计阶段的系统，现场参观将是面对面的数据收集过程，并可提供机会来评价IT系统将运行的物理环境。

　　◆文档检查：
　　策略文档（如法律文档、方针等）、系统文档（如系统用户指南，系统管理员手册，系统设计和需求文档等），安全相关的文档（如以前的审计报告，风险评估报告，系统测试结果，系统安全计划5，安全策略等）可以提供关于IT系统已经使用或计划使用的安全控制方面的有用信息。机构使命影响分析或资产关键性评估提供了关于系统和数据关键性和敏感性方面的信息。

　　◆使用自动扫描工具：
　　一些主动的技术方法可以被用来有效地收集系统信息。比如，一个网络映射工具可以识别出运行在一大群主机上的服务，并提供一个快速的方法来为目标IT系统建立个体轮廓。

　　信息收集工作可以贯穿于整个风险评估过程，从第一步（系统特征描述）一直到第九步（结果文档）。

　步骤一的输出：被评估IT系统的特征、关于IT系统环境的描述、以及关于系统边界的描述2.2 步骤二：威胁识别

威胁是指某个特定威胁源成功攻击一个特定弱点潜在可能性。弱点是一个可能被偶然触