英文全称：

ISO/IEC 27005:2022：Information security, cybersecurity and privacy protection—Guidance on managing information security risks
GB/T 31722-2025：Cybersecurity technology—Guidance on managing information security risks
采标方式：等同采用ISO/IEC 27005:2022，推荐性国家标准，归口全国网络安全标准化技术委员会。
发布时间：2025-08-01；实施时间：2026-02-01；替代旧版GB/T 31722-2015。

一句话定位：
它是ISO27000族配套的风险管理实操指南，承接GB/T 22080也就是ISO27001里风险管控的强制要求，告诉组织怎么完整开展信息安全风险评估、风险处置，属于方法论文件，不是认证准则。新版同步纳入隐私保护视角，能够直接支撑ISO27701隐私体系的隐私风险工作。

一、适用范围

适用于所有类型、规模、行业的组织，包含企业、政务机构、事业单位、服务商。面向体系咨询师、风险评估人员、内审员、第三方审核员、数据合规负责人。
标准聚焦信息安全全生命周期风险管理，既可以单独用于风险评估项目，也嵌入ISMS体系运行流程，同时适配云服务、外包供应链、个人信息处理等高风险场景。

边界说明：
它不替代ISO31000通用风险管理框架，是ISO31000在信息安全领域的专项落地细则。27001提出"要做风险评估"的要求，本标准说明风险评估整套流程、可选方法、判定规则。它不规定控制措施，控制措施选取参考27002。

二、标准完整章节结构

1 范围
2 规范性引用文件
3 术语和定义
4 文件结构
5 信息安全风险管理
6 环境建立
7 信息安全风险评估过程
8 信息安全风险处置过程
9 运行
10 利用相关ISMS过程
附录A：风险评估方法示例

章节要点拆解

第3章 术语和定义

更新整套风险相关术语体系，新增风险场景、控制等词汇，删除旧版风险规避、风险估算等术语。术语兼顾信息安全、网络安全、隐私保护，和GB/T29246保持统一，跨27001、27701联合评估时共用一套口径。

第5章 信息安全风险管理

提出分层的风险管理循环，分为战略层和运行层，强调风险管理不是一次性活动，是持续迭代循环。明确整套风险管理主线：建立环境、风险评估、风险处置、监视评审、持续更新。
区别旧版单次评估思路，新版强调动态风险管控，业务变更、威胁变化、合规更新时触发重评估。

第6章 环境建立

这是风险评估的前置环节。要求识别组织内外部环境、识别相关方诉求、建立组织自己的风险准则，也就是风险接受准则。同时允许组织自主选择适配自身业务的评估方法，不再强制单一资产导向评估模式。风险准则需要匹配业务目标、合规义务、隐私保护要求。

第7章 信息安全风险评估过程

评估三步流程：风险识别、风险分析、风险评价。
新版最大变化是提供两类主流评估路径，基于资产的方法、基于事态也就是基于场景的方法。
基于资产的方法是传统模式，梳理资产、威胁、脆弱点，适合传统IT资产管控。
基于事态的方法从风险场景切入，适合隐私场景、业务流程、数据流转、云外包、供应链，也是27701隐私风险评估优先推荐的模式。
本章说明如何判断风险等级、分析现有控制残余风险，输出风险清单。

第8章 信息安全风险处置过程

提供四类处置选项：风险规避、风险降低、风险转移、风险接受。
重点说明如何选择处置方案、匹配控制措施，控制来源可以选自27002、行业规范、国内法规要求。处置之后要重新评估残余风险，确认残余风险满足组织风险接受准则。所有风险接受，尤其是风险接受，需要审批留痕，高风险不得随意接受。

第9章 运行

规定风险管理程序落地执行要求，包含风险评估计划执行、处置措施落地、风险监视、变更触发评估。当信息系统变更、业务上线、数据处理范围调整、发生安全事件、法规更新，都要启动风险复核。

第10章 利用相关ISMS过程

把风险管理和ISMS原有流程打通，衔接方针目标、内部审核、管理评审、不符合和纠正措施。内审、管理评审需要评审风险体系有效性，风险变化会驱动方针、适用性声明更新。

附录A

列举多种风险评估方法示例，包含定性、半定量、定量方法，给组织选型参考。

三、和旧版GB/T 31722-2015核心差异

标题增加网络安全、隐私保护维度，对齐新版ISO27001:2022、ISO27701的定位。
新增风险管理双层循环模型，战略层加运行层，弱化一次性评估思维。
评估方法扩容，新增基于事态的场景化评估方式，适配隐私、业务流评估。
术语精简重构，去掉过时定义，新增风险场景等适配数据合规的词汇。
增加独立的运行章节，明确常态化监视、变更触发重评估机制。
增加和ISMS各流程联动章节，强化风险和内审、管理评审闭环。
强化外包、云、供应链、个人信息处理场景下的风险识别要点。

四、落地使用场景

信息安全风险评估报告编制，作为评估活动的方法论依据。
ISO27001体系建设，制定风险评估程序文件、风险接受准则。
ISO27701隐私体系，开展隐私风险评估、PIA个人信息保护影响评估。
内审、第三方认证审核，核查风险评估流程是否规范。
数据安全治理、等保测评、数据出境评估配套风险分析。
供应商二方审核，对供方信息安全、数据保护风险开展评估。
安全事件发生后的复盘、新增风险识别。

五、常见误区

误区1：标准强制要求必须做定量风险评估
纠正：标准同时支持定性、半定量、定量，组织在环境建立阶段自行选定方法，只要方法适合业务、准则明确、可复现即可。大部分企业优先使用定性或者半定量。

误区2：风险评估做完一次就结束
纠正：新版核心变化就是循环迭代，属于持续活动，变更、事件、法规更新都要触发复核，管理评审定期评审风险全貌。

误区3：只适用于27001，不能用来做隐私风险评估
纠正：新版国际标准标题已经包含隐私保护，基于事态的评估方法就是面向数据、隐私场景设计，国内很多PIA报告直接复用这套流程框架。

误区4：风险接受就是放任不管
纠正：风险接受需要分级审批、记录理由，高风险原则上不允许接受，残余风险必须在风险准则以内。