波仔
🛡️ 第一章 信息安全的基本概念
📄 一句话概括

把"危险"拆成三个能算账的词——信息资产、威胁、风险；风险不是一个感觉，是一个可以排队、可以比较的数。

📝 本节和前面几节的关系

上一节（攻击者的目的）看了"谁在打我们"。这一节要解决的是另一个基础问题：我们手里有什么值得保护的，以及"危险"这件事到底怎么描述。

这一篇是全课最重要的概念篇。后面所有的措施——访问控制、认证、加密、备份——都是在对这里定义的三个词做文章。这三个词没分清，后面就会一路糊涂：比如很多公司把"买了个安全设备"当成安全工作的全部，其实就是没分清【威胁】和【脆弱性】。

一、三个词，必须分清

先看教材给的三个词，用一句人话解释：

词 一句话 关键提问
信息资产 值得保护的东西 我有什么？值多少？
威胁 可能伤害它的力量 谁会来、会怎么来？
风险 伤害真的发生的可能与后果 我该先管哪一件？

三者的关系可以写成一句口诀：威胁利用脆弱性，作用于资产，产生风险。

注意其中没有单独列出的第四个词：脆弱性（也叫弱点、漏洞）。它藏在中间——它是资产自身"可被利用的缺口"。这个概念一定要拎出来，因为它是唯一一个你几乎总能当天动手改的东西。

举个例子：

这四样里，前三样短期内改不了太多（资产就是你的资产，威胁就是存在），只有脆弱性是你能立刻动的——把权限收回来，风险就下来了。

二、资产：先把"值得保护的东西"数清楚

资产的第一个反直觉之处：它不是只有数据。

按常见的分类，信息资产至少包括四类：

第二反直觉之处：资产是有价值的，但价值的判断权不在安全部门手里。

这一点非常实际。安全人员常常按"技术上有多重要"来排资产，而业务方关心的是"这东西要是没了，我要赔多少钱、丢多少客户、停多少天"。两个答案经常不一样。所以资产分级这件事必须和业务方一起做——这也是后面 Demo 里那句提醒的来由。

一个能用的土办法：给每个资产问三个问题，各打 1~5 分。

  1. 它要是泄露了，后果多严重？
  2. 它要是被改错了，后果多严重？
  3. 它要是打不开了，业务能撑多久？

三个分数里最高的那个，大致就是它的价值分。

三、威胁：谁会用哪种方式来

威胁这一节，教材在下一节（威胁的分类）会按人为、技术性、物理性展开。这里只讲一件与"算账"有关的事：

威胁和脆弱性的区别是：威胁来自外面，脆弱性长在你身上。

同样一批数据泄露事件，可以有两种描述：

这两种描述听上去是在说同一件事，但引出完全不同的动作：A 的下一步是"加监控、加情报、加防护"；B 的下一步是"今天就把那个端口关掉"。

在不该用 A 的时候用 A，是安全工作最常见的浪费——因为威胁你改变不了，脆弱性你改得了。

四、风险：把它变成一个能排序的数

风险的定义是"威胁发生的可能性 × 发生后造成的后果"。听起来抽象，但它的实用价值只有一条：让不同的危险能放在一起排队。

一个极简的算法（Demo 里用的就是这个）：

风险值 = 资产价值 × 威胁发生的可能性 × 脆弱性程度

三个因子各打 1~5 分，乘起来最高 125。然后分档：

这个算法的好处不是"算得准"，而是逼你把三件事分别想一遍——很多人排不出优先级，是因为他一直在用笼统的"很危险"来判断，没有把"值多少钱""多可能发生""我多容易被打"分开。

风险值的用途就一句话：它是排队的依据，不是结论。

五、风险怎么处置：四种标准动作

排完队之后，处置只有四种选择，业界通称四个词：

处置方式 做法 什么情况下用
降低 补漏洞、加控制、改流程 绝大多数情况，尤其是高价值资产
规避 干脆不做这件事 风险高、收益低、又没法降下来
转移 买保险、外包给专业方 低频但后果大，或自己做不划算
接受 认了，但记录下来并监控 风险低，或处置成本远超损失

"接受"不是偷懒，它必须是一次有记录的、有负责人的决定。 没有记录、没人签字的那种"接受"，其实叫"没人管"。

六、动手 Demo：风险计算器

下面这个 Demo 对五个资产打分排序，再对比两种处置思路的效果。

# 风险值 = 价值 × 威胁可能性 × 脆弱性（各 1~5 分，满分 125）
def grade(v):
    if v >= 60:
        return "高", "优先处置：降低＋规避"
    if v >= 30:
        return "中", "计划处置：降低＋转移"
    return "低", "接受并监控"

实跑输出：

==============================================================================
一、风险排序（风险值 = 价值 × 威胁可能性 × 脆弱性，满分 125）
==============================================================================
  资产                价值  可能性  脆弱性  风险值  等级  处置
  --------------------------------------------------------------------------
  财务付款系统        5     4       5       100     高    优先处置：降低＋规避
  客户名单与合同      5     3       4       60      高    优先处置：降低＋规避
  员工邮箱            3     4       4       48      中    计划处置：降低＋转移
  车间工控设备        4     2       4       32      中    计划处置：降低＋转移
  对外官网            2     5       3       30      中    计划处置：降低＋转移

==============================================================================
二、两种处置思路的效果对比（看排名前三）
==============================================================================
  思路 A：只压「威胁可能性」（如培训、加验证码、封锁来源）
  思路 B：只降「脆弱性」（如打补丁、改默认口令、最小权限）

  资产                原风险  A 后    降幅    B 后    降幅    
  --------------------------------------------------------------------------
  财务付款系统        100     75      -25%    80      -20%    
  客户名单与合同      60      40      -33%    45      -25%    
  员工邮箱            48      36      -25%    36      -25%    

  两个思路都只让一个因子 -1，降幅都在两成到三成之间：
  把可能性从 4 压到 3，风险掉 25%；把脆弱性从 5 降到 4，掉 20%。
  算式上这两个因子是等价的，谁都不比谁高级——
  所以真正该问的不是哪个更管用，而是哪一件你明天就能落地。

  ④ 这张表最值钱的地方不是分数，是【价值】那一列怎么来的：
     它是你和业务方一起定的，不是安全部门自己填的。

读这个输出：排名第一的"财务付款系统"拿满分 100，不是因为它最容易被攻击，而是因为它的三个因子都高——值钱、常被盯、且本身漏洞多。排名最后的"对外官网"价值只有 2 分，但它的"可能性"是满分 5（对外暴露的系统天天被人扫）。这两条的处置优先级完全不同：一个要立刻降低脆弱性，一个可以考虑"接受"。

七、⚠️ 2026 现状

30 秒实验

拿你手边最重要的一件事（手机上的相册、电脑里的某份文件、或者某个你天天用的账号），快速填三个数：

  1. 价值：它泄露或丢失，对你的影响（1~5）？
  2. 可能性：一年内出事的可能（1~5）？
  3. 脆弱性：它现在的保护措施有多弱（1~5，越弱分越高）？

三个数相乘，对照 Demo 里的三档看看落在哪里。然后问自己一句：如果要让这个数降下来，你能在十分钟内做完的那件事是什么——那件事，通常就是改一个密码、关一个分享链接、或者打开一次两步验证。

常见误区

  1. 错误：安全和业务是两回事，风险管理是安全部门的事。——纠正：资产的价值由业务定义，风险处置的优先级往往也要业务来拍板。安全部门提供的是"风险和措施"的清单，不是"我应该值多少钱"的答案。

  2. 错误：不确定性太大，算不出准确数字，所以算了也没用。——纠正：这类打分本来就不追求准确，追求的是可比。哪怕三个数都只是粗略估计，排出来的顺序也远比"凭感觉"可靠。它的价值在排队，不在精度。

  3. 错误：风险是威胁造成的，所以要重点分析威胁。——纠正：威胁往往在短期内改不了，脆弱性才是你能动的那个变量。多数实际改善都来自"把脆弱性降一级"，而不是"把威胁消灭掉"。

  4. 错误：处置措施当然是越强越好。——纠正：任何措施都有成本和便利代价（下一节 成本、便利性、安全性的考量 展开讲）。处置的目标不是把风险降到零，而是降到你可以接受、并且愿意承担其代价的水平。

自测三问（点开对答案） 1. "我们的数据库被攻破了"这句话，描述的是威胁还是脆弱性？怎么改写成另一侧？ —— 它描述的是**威胁**（有人打进来了）。改写成脆弱性侧可以这样说：**"数据库对公网开放，且用的还是默认口令"**。这样一改，动作就清楚了——关端口、改口令，今天就能做。 2. 为什么风险打分里，把三个因子"相乘"比"相加"更合理？ —— 因为三个因子里**任何一个为零，风险就应该为零**。比如一件东西价值为零，或者它根本不暴露在威胁之下，那么再高的可能性也不构成风险。乘法能表达这种"一票否决"，加法不能。 3. 一个组织决定"接受"某个风险，需要留下什么？ —— 至少要留下三样：**评估的结论（为什么判断为低）、处置的决定（选择接受而非降低）、以及责任人（谁签字认可的）**。没有这三样，"接受"就退化成了"没人管"——出事时也说不清这是决策还是失职。

相关笔记