【摘要】识别信息资产的脆弱性和所面临的威胁,是进行信息安全风险评估的前提。文章总结了常见信息实体的信息载体和运行环境,提出了通用的信息资产运行环境层次分析模型,可以有效正确识别各个层次运行环境的脆弱性和可能面临的威胁,确认已有安全措施,实现有效风险评估。