威胁和薄弱点

我们在对信息资产做风险识别的时候，需要考量资产的威胁和薄弱点，只有充分、准确地认知该项资产的威胁和薄弱点，才能识别出该项资产的风险和相应的风险重要性。那么，什么是资产的威胁和薄弱点呢？
所谓的资产的薄弱点，是指资产本身所具备的一些属性、特点、特质，而并不是说资产的某一属性比较低、特性参数不高。我们可以将这些资产本身所具备的属性、特点或特质，称之为这个资产的内部因素。
有内部因素，必然就有外部因素了。资产在应用过程中所处的外部环境、应用资产的条件、使用资产的方法等，都可以称之为资产的外部因素。我们不妨定义：作用于资产，不属于资产本身属性的所有因素，均为资产的外部因素。
搞清楚资产的内部因素和外部因素的概念后，我们就可以来探讨一下什么是资产的威胁和薄弱点了。当资产的一个或多个外部因素作用于资产的一个或多个内部因素时，使得资产发生某种风险，导致资产减损。此时，我们称这些外部因素为资产的威胁，称这些内部因素为资产的薄弱点。
根据以上表述，我们知道，资产的威胁和薄弱点不是一成不变的，它们是随着资产的应用环境的改变、应用方法的改变和时间的推移等而动态变化的。所以，我们需要定期地识别资产的风险，因为资产的风险不是一成不变的，而是动态发展的。