风险评估---风险管理---
目标：可以达到的业务目标
风险：可能影响业务目标实现的事件
控制：通过管理程序或活动减少风险
信息安全风险管理相关概念
信息资产
威胁
弱点
可能性
影响
安全措施
残留风险
ALE=ARO*SLE
