文档介绍：一、风险评估准备：确定评估范围、组织评估小组、评估目标、评估工具和评估方法。
二、风险因素识别：资产识别、威胁识别、脆弱点识别
三、风险评估方法：采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。
资产评估
（标记？
客体标记
2、是否为强制访问控制的客体指定敏感标记？
标记完整性
敏感标记能否准确表示特定主体或客体的访问控制属性？
有标记信息的输出
1、将一客体信息输出到一个具有多级安全的I/O设备时，与客体有关的敏感标记也可输出？
2、对于单级安全设备，授权用户能否可靠地实现指定的安全级的信息通信？
强制访问控制
访问控制策略
2、是否为强制访问控制的主体指定敏感标记？
客体标记
2、是否为强制访问控制的客体指定敏感标记？
标记完整性
敏感标记能否准确表示特定主体或客体的访问控制属性？
有标记信息的输出
3、将一客体信息输出到一个具有多级安全的I/O设备时，与客体有关的敏感标记也可输出？
4、对于单级安全设备，授权用户能否可靠地实现指定的安全级的信息通信？
用户数据完整性
存储数据的完整性
1、是否对基于用户属性的所有客体，对用户数据进行完整性检测？
2、当检测到完整性错误时，能否采取必要的恢复、审计或报警措施？
传输数据的完整性
1、是否对被传输的用户数据进行检测？
2、数据交换恢复若没有可恢复复件，能否向源可信IT系统提供反馈信息？
处理数据的完整性
对信息系统处理中的数据，能否通过“回退”进行完整性保护？
用户数据保密性
存储数据的保密性
1、是否对存储在SSC内的用户数据进行保密性保护？
传输数据的保密性
1、是否对在SSC内的用户数据进行保密性保护？
客体安全重用
1、将安全控制范围之内的某个子集的客体资源分配给某一用户或进程时，是否会泄露该客体中的原有信息？
2、将安全控制范围之内的所有客体资源分配给某一用户或进程时，是否会泄露该客体中的原有信息？
如：
调查问卷题目
认证是否提供注册服务机制？
只提供点到点的认证服务还是提供端到端的认证服务？
是否更新现有的身份识别以符合最新Web服务安全规范？
授权对访问资源提供大粒度的访问控制还是小粒度的访问控制？
是否更新现有接入控制安全策略以满足服务安全规范？
认证成功之后,是否在运行时根据资源访问权限列表来检查服务请求者的访问级
审计性
别？
管理员是否可以在生命周期的不同时刻追踪并找出服务请求？
哪些技术提供了不可否认性的一个关键元素？
不可否认性
是否支持不可否认性？（不可否认性使得用户能够证明事务是在拥有合法证书的情况下进行的。）是否包含时间戳、序列号、有效期、消息相关等元素，并进行签名从而保证消息的唯
一性（当缓存这些信息时，可以检测出重放攻击）？
通过工具进行扫描
（1）收费威胁扫描工具（内网威胁发现解决方案）核心技术包括：已知病毒扫描、变种和加壳恶意程序扫描、恶意程序行为分析引擎、网络蠕虫病毒扫描、网页信誉服务能解决的问题：恶意程序实时分析系统、恶意程序的深度分析、恶意程序的处置建议可得出的结论：总体风险等级、感染源统计、威胁统计、潜在风险
（2）免费扫描工具：
1．Nmap网络安全诊断和扫描工具，进