4)進(jìn)行系統(tǒng)調(diào)研

系統(tǒng)調(diào)研是確定被評(píng)估對(duì)象的過程，風(fēng)險(xiǎn)評(píng)估小組應(yīng)進(jìn)行充分的系統(tǒng)調(diào)研，為風(fēng)險(xiǎn)評(píng)估依據(jù)和方法的選擇、評(píng)估內(nèi)容的實(shí)施奠定基礎(chǔ)。調(diào)研內(nèi)容至少應(yīng)包括：業(yè)務(wù)戰(zhàn)略及管理制度；主要的業(yè)務(wù)功能和要求；網(wǎng)絡(luò)結(jié)構(gòu)與網(wǎng)絡(luò)環(huán)境，包括內(nèi)部連接和外部連接；系統(tǒng)邊界；

主要的硬件、軟件；數(shù)據(jù)和信息；系統(tǒng)和數(shù)據(jù)的敏感性；支持和使用系統(tǒng)的人員；其他。

系統(tǒng)調(diào)研可以采取問卷調(diào)查、現(xiàn)場面談相結(jié)合的方式進(jìn)行。調(diào)查問卷是提供一套關(guān)于管理或操作控制的問題表格，供系統(tǒng)技術(shù)或管理人員填寫；現(xiàn)場面談則是由評(píng)估人員到現(xiàn)場觀察并收集系統(tǒng)在物理、環(huán)境和操作方面的信息。

5)確定評(píng)估依據(jù)和方法；

根據(jù)系統(tǒng)調(diào)研結(jié)果，確定評(píng)估依據(jù)和評(píng)估方法。評(píng)估依據(jù)包括（但不僅限于）：現(xiàn)有國際標(biāo)準(zhǔn)、國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)；行業(yè)主管機(jī)關(guān)的業(yè)務(wù)系統(tǒng)的要求和制度；系統(tǒng)安全保護(hù)等級(jí)要求；系統(tǒng)互聯(lián)單位的安全要求；系統(tǒng)本身的實(shí)時(shí)性或性能要求等。

據(jù)組織機(jī)構(gòu)自身的業(yè)務(wù)特點(diǎn)、信息系統(tǒng)特點(diǎn)，選擇適當(dāng)?shù)娘L(fēng)險(xiǎn)分析方法并加以明確，如定性風(fēng)險(xiǎn)分析、定量風(fēng)險(xiǎn)分析，或是半定量風(fēng)險(xiǎn)分析。

根據(jù)評(píng)估依據(jù)，應(yīng)考慮評(píng)估的目的、范圍、時(shí)間、效果、人員素質(zhì)等因素來選擇具體的風(fēng)險(xiǎn)計(jì)算方法，并依據(jù)業(yè)務(wù)實(shí)施對(duì)系統(tǒng)安全運(yùn)行的需求，確定相關(guān)的判斷依據(jù)，使之能夠與組織環(huán)境和安全要求相適應(yīng)。