渗透测试中风险评估是什么

渗透测试中风险评估是指在风险事件发生之前或之后但还没有结束时评估该事件对各个方面造成的影响和损失的一种量化评估工作，简单来说风险评估就是量化测评某一事件或事物带来的影响或损失的可能程度，渗透测试过程中一般会出具渗透测试报告和风险评估报告，风险评估报告是对信息资产面临的威胁、存在的弱点、造成的影响，以及三者综合作用而带来风险的可能性的评估。

风险评价的作用主要表现在：一是更准确地认识风险；二是保证目标规划的合理性和计划的可行性；三是合理选择风险对策，形成最佳风险对策组合。

风险评估常用方法如下：

• 风险因素分析法

  风险因素分析法是指对可能导致风险发生的因素进行评价分析，从而确定风险发生概率大小的风险评估方法。其一般思路是：调查风险源→识别风险转化条件→确定转化条件是否具备→估计风险发生的后果→风险评价。

• 内部控制评价法

  内部控制评价法是指通过对被审计单位内部控制结构的评价而确定审计风险的一种方法。由于内部控制结构与控制风险直接相关，因而这种方法主要在控制风险的评估中使用。

• 分析性复核法

  分析性复核法是注册会计师对被审计单位主要比率或趋势进行分析，包括调查异常变动以及这些重要比率或趋势与预期数额和相关信息的差异，以推测会计报表是否存在重要错报或漏报可能性。常用的方法有比较分析法、比率分析法、趋势分析法三种。

• 定性风险评价法

  定性风险评价法是指那些通过观察、调查与分析，并借助注册会计师的经验、专业标准和判断等能对审计风险进行定性评估的方法。它具有便捷、有效的优点，适合评估各种审计风险。主要方法有：观察法、调查了解法、逻辑分析法、类似估计法。

• 风险率风险评价法

  风险率风险评价法是定量风险评价法中的一种。它的基本思路是：先计算出风险率，然后把风险率与风险安全指标相比较，若风险率大于风险安全指标，则系统处于风险状态，两数据相差越大，风险越大。