本文目录导读：
这是一个非常核心且具有现实意义的问题,直接回答是：从政策要求和行业标杆来看，网络安全风险评估已经进入了“常态化”阶段；但从普遍实践和覆盖广度来看，尚未完全实现“真正的常态化”。
我们可以从以下几个维度来深入理解这个现状：
为什么说“政策层面已经常态化”？
近年来,国家层面对网络安全的重视程度空前提升，一系列法律法规和监管要求将风险评估明确为一项持续性、周期性的工作，而非一次性活动。
-
法律要求：
- 《网络安全法》：要求网络运营者采取技术措施和其他必要措施，保障网络安全，其中的“必要措施”就包含了定期的风险评估和漏洞扫描。
- 《数据安全法》：要求对数据活动定期开展风险评估，特别是处理重要数据和核心数据的组织。
- 《个人信息保护法》：要求对个人信息处理活动进行风险评估，并定期进行审计。
- 《关键信息基础设施安全保护条例》：明确要求CII运营者每年至少进行一次网络安全检测和风险评估。
-
监管检查与合规驱动：
- 各行业主管单位（如金融、能源、交通、医疗等）的监管检查中，风险评估报告是必查项，如果企业不能提供近期的风险评估记录，会被视为不合规。
- 等保2.0（网络安全等级保护） 明确要求，系统进入运行维护阶段后，必须定期进行测评和安全风险评估。
从法律和监管角度来看，风险评估早已不是“做不做”的问题，而是“做得是否符合要求、频率是否达标”的问题，这是常态化最坚实的驱动力。
为什么说“实践层面尚未完全常态化”？
尽管政策驱动很强,但在实际落地中，很多组织仍然面临挑战，导致风险评估并未完全融入日常运营，主要存在以下问题：
-
“运动式”评估 vs. “持续性”评估：
- 现状：许多单位将风险评估视为一个“项目”，每年或每季度委托安全厂商来做一次，输出一份厚厚的报告后就束之高阁，一旦遇到上级检查或合规审查，才拿出来“应付”。
- 真正的常态化：风险评估应是一个持续性、动态的流程，当系统新增一个功能、上线一个新应用、发生一次安全事件、发现一个新漏洞后，都应该立即触发小范围的风险评估，目前能做到这一点的企业相对较少。
-
人才和资源的制约：
- 专业人才短缺：风险评估需要懂技术、懂管理、懂业务的复合型人才，这类人才在市场上稀缺且成本高昂。
- 资源投入不足：中小企业缺乏足够预算请专业团队进行常态化评估，只能依赖简单的自动化扫描工具，无法覆盖业务风险、供应链风险等复杂维度。
-
评估结果与整改脱节：
- 很多风险评估报告列出了几十甚至上百个漏洞和风险点,但缺乏有效的整改跟踪机制，下个周期评估时，发现上次的高风险问题依然存在，这导致风险评估变成了“为了评估而评估”，失去了其核心价值——驱动安全能力提升。
- 真正的常态化：评估-整改-复测-持续监控的闭环必须跑通，目前很多组织卡在了“整改”环节。
-
评估对象和范围的局限性：
- 传统IT资产为主：很多风险评估仍主要关注服务器、网络设备等传统IT资产，对云原生环境、API接口、数据流、供应链、工业控制系统、物联网设备等新兴领域的风险评估覆盖不足。
- 静态评估为主：风险是动态变化的（如新的0day漏洞、攻击手法演变），很多评估仍停留在静态扫描或访谈层面，缺乏对真实攻击场景的模拟和动态风险感知。
当前的真实状态：从“被动合规”向“主动防御”的过渡期
我们可以用一个光谱来描述：
| 阶段 | 特征 | 代表性组织 |
|---|---|---|
| 被动合规型 | 为了应付检查才做，频率低于要求，报告束之高阁。 | 部分中小企业、对安全要求不高的传统行业。 |
| 定期评估型 | 按年度或季度完成，有规范流程，有报告归档，但整改不闭环，缺乏动态性。 | 大多数受监管的金融、能源、运营商等大中型企业，这是当前的主流状态。 |
| 持续运营型 | 将风险评估融入开发安全 (DevSecOps)、安全运营中心 (SOC)、威胁情报等日常流程中，能实时感知、量化风险，并驱动自动化响应。 | 头部互联网公司、金融科技领军企业、数字原生企业，这是“真正常态化”的理想状态。 |
结论与建议
核心结论：
网络安全风险评估在“合规强制要求”层面已经实现了常态化，但要在“安全运营价值”层面达到真正的、可持续的、动态的常态化，仍有很长一段路要走。
对企业的建议：
- 从“合规驱动”升级为“价值驱动”：不要只把风险评估当成报告任务，思考评估结果如何帮助自身更有效地分配安全预算、优先修复高风险漏洞、优化安全架构。
- 建立“轻量级、高频次”的评估机制：在年度全量评估之外，引入自动化扫描、威胁建模、渗透测试（针对重点系统）等高频活动，捕捉动态风险。
- 打通“评估-整改”的闭环：将评估发现的风险纳入工单系统、项目管理系统，设立明确的整改责任人和时限，并进行复测验证。
- 拥抱自动化与平台化：利用漏洞管理平台、安全态势感知平台、BAS（攻击模拟）工具等，实现风险数据的持续采集、分析和量化，降低对人力的依赖。
- 培养“风险文化”：让每个开发、运维、业务人员都理解“我的决策和操作可能引入哪些风险”，而非仅依赖安全部门“定期来查”。
一句话总结：风险评估的“常态化”形态，正从“每年一次的体检”向“每天监测血压的心电监护仪”进化，虽然大多数企业还停留在“体检单”阶段，但趋势和领先实践已经指明了方向。
