安全需求分析共分为基本安全需求的确定、额外/特殊安全需求的确定、形成安全需求分析报告三大部分，本文主要介绍的是第二部分——安全需求分析之：额外/特殊安全需求的确定，您可前往信创致远http://www.dengbao110.com/查看更多内容。

（二）额外/特殊安全需求的确定

活动目标：

本活动的目标是通过对信息系统重要资产特殊保护要求的分析，确定超出相应等级保护基本要求的部分或具有特殊安全保护要求的部分，采用需求分析/风险分析的方法，确定可能的安全风险，判断对超出等级保护基本要求部分实施特殊安全措施的必要性，提出信息系统的特殊安全保护需求。

参与角色： 信息系统运营、使用单位，信息安全服务机构。

活动输入：信息系统详细描述文件，信息系统安全保护等级定级报告，信息系统相关的其它文档。

活动描述：

确定特殊安全需求可以采用目前成熟或流行的需求分析/风险分析方法，或者采用下面介绍的活动：

a) 重要资产的分析

明确信息系统中的重要部件，如边界设备、网关设备、核心网络设备、重要服务器设备、重要应用系统等。

b) 重要资产安全弱点评估

检查或判断上述重要部件可能存在的弱点，包括技术上和管理上的；分析安全弱点被利用的可能性。

c) 重要资产面临威胁评估

分析和判断上述重要部件可能面临的威胁，包括外部的威胁和内部的威胁，威胁发生的可能性或概率。

d) 综合风险分析

分析威胁利用弱点可能产生的结果，结果产生的可能性或概率，结果造成的损害或影响的大小，以及避免上述结果产生的可能性、必要性和经济性。按照重要资产的排序和风险的排序确定安全保护的要求。

活动输出： 重要资产的特殊保护要求。