识别和描述系统面临的安全风险 BP.03.01 选择风险所依据的方法、技术和准则 BP.03.02 识别威胁/脆弱性/影响三组合(暴露) BP.03.03 评估与每个暴露有关的风险 BP.03.04 评估总体不确定性 BP.03.05 风险优先级排列 BP.03.06 监控风险的变化