即對(duì)信息和信息處理設(shè)施的威脅、影響(Impact,指安全事件所帶來(lái)的直接和間接損失)和脆弱性及三者發(fā)生的可能性的評(píng)估。
所謂脆弱性就是資產(chǎn)的弱點(diǎn)或薄弱點(diǎn),這些弱點(diǎn)可能被威脅利用造成安全事件的發(fā)生,從而對(duì)資產(chǎn)造成損害。