安防工程不是上来就画点位图。做多少防护、防护到什么程度，应该由风险说了算。GB 50348-2018《安全防范工程技术标准》把风险评估放进工程链条：立项阶段对保护对象进行风险评估，规划阶段做风险防范规划，运行维护阶段再评估更新。评估结果决定风险等级，风险等级决定防护级别，防护级别决定系统配置与投资规模——这个顺序颠倒了，工程就失去了依据。
TL;DR 检查清单
- GB 50348-2018 将风险评估贯穿立项、规划、运维各阶段
- 先定保护对象（资产），再识威胁与脆弱性，后算风险
- 风险等级是划分防护级别的依据，等级定错整个设计跟着错
- 风险矩阵法（可能性 × 影响）是工程中最常用的半定量方法
- 评估输出风险评估报告，作为立项、设计与验收的支撑文件
- 运维期要按管理要求更新评估，不是一次做完就束之高阁
- 评估走过场、等级定级随意、评估与设计脱节是三类高频问题
风险评估为什么是第一步
- 安全防范的投入要与保护对象的价值匹配：风险高的部位多投，风险低的部位够用即可，避免过度设计或防护不足
- 标准把风险评估写进程序：立项阶段协助建设单位确定安全需求并对保护对象进行风险评估，结论作为后续各环节的依据
- 规划阶段的风险防范规划依据评估结果展开，防护级别从风险等级推导，链路完整
- 设计阶段的勘察、方案、图纸都围绕评估结论展开，评估缺位则设计失去方向
- 运行维护阶段按安全管理要求再次评估，风险变化后系统配置随之调整
评估对象是什么
评估的对象是保护对象，落到工程语言里是一张资产清单。
| 评估要素 | 内容 | 示例 |
|---|---|---|
| 资产 | 需要保护的人、物、信息与区域 | 财务室、金库、机房、危化品库、贵重物品区 |
| 威胁 | 可能造成损失的来源与事件类型 | 盗窃、抢劫、暴力闯入、内盗、破坏 |
| 脆弱性 | 保护对象与既有防护中的薄弱点 | 出入口无人值守、监控盲区、门禁无断电保护 |
| 既有防护 | 已存在的人防物防技防措施 | 保安岗位、防盗门、现有监控点位 |
评估不是只盯着资产本身，威胁与脆弱性缺一不可：资产价值高但没有威胁暴露，或虽有威胁但防护严密，风险结论都会不同。
流程怎么走
| 步骤 | 动作 | 输出 |
|---|---|---|
| 资产识别 | 梳理保护对象、明确价值等级 | 资产清单与价值分级表 |
| 威胁识别 | 列出可能威胁及发生可能性 | 威胁清单 |
| 脆弱性识别 | 检查防护措施与薄弱环节 | 脆弱性清单 |
| 风险分析 | 结合三要素计算风险大小 | 风险值或风险等级 |
| 风险评价 | 对照可接受标准判定等级 | 风险等级结论 |
| 对策建议 | 提出防护级别与措施方向 | 防护建议与设计输入 |
流程可以与标准规定的工程阶段对应：立项定需求、规划定防护框架、设计落实措施、验收核实现状，各阶段评估结论逐级传递。
风险等级怎么划
工程实践中常用风险矩阵法：把威胁发生的可能性与影响程度各自分级，交叉得出风险等级。
| 影响程度＼可能性 | 低 | 中 | 高 |
|---|---|---|---|
| 高 | 中风险 | 高风险 | 高风险 |
| 中 | 低风险 | 中风险 | 高风险 |
| 低 | 低风险 | 低风险 | 中风险 |
矩阵分级是半定量做法，具体等级档位与阈值按项目实际情况和管理要求设定。风险等级确定后，防护级别据此划分：高风险部位对应高防护级别，配置更强的探测、延迟与响应能力；低风险部位按基本防护配置。防护级别直接影响摄像机分辨率档位、入侵报警灵敏度、门禁安全等级与存储配置等设计参数，等级的严谨程度决定了后续设计的合理程度。
评估输出什么
- 风险评估报告：包含资产清单、威胁与脆弱性分析、风险等级结论与防护建议
- 风险等级对照表：逐项列出保护部位、风险等级与对应防护级别，作为设计输入
- 防护措施建议：针对中高风险部位提出技防物防人防组合方向
- 剩余风险说明：采取防护措施后仍存在的风险及后续管理要求
- 运维期更新记录：评估结论变化时同步修订防护配置，报告版本化管理
常见问题
- 评估走过场：套用模板不调研现场，结论千篇一律，设计跟着失去针对性
- 定级随意：风险等级拍脑袋定，高等级部位没高配、低风险部位过度配置
- 评估与设计脱节：报告写完即归档，防护级别没有落实到设计参数
- 只评一次：风险会随环境、经营与周边治安变化，运维期不更新评估等于用旧地图导航
- 忽略人防物防联动：评估只算技防，保安力量与实体防护的短板也会放大风险
参考资料
- security-engineering-procedure
- gb55029-security-engineering