信息安全风险评估中，风险要素识别阶段出什么文档

信息安全的至关重要性越来越受到更多人的关注，它牵涉的不只是技术问题，更多的是管理问题。信息安全所涉及的工作是识别、度量和减轻运作信息资产所面临的风险，或最低限度要记录这些风险。所以风险评估是信息安全管理中最核心的一环。 ITIL培训

风险评估是在整个信息安全战略中有着“知己知彼”的作用，了解机构运作的薄弱环节所在;了解机构的信息是如何处理、存储和传送以及机构有何种资源可用;发现与评估机构运作的风险;同时确定怎样控制和减少那些风险。选择一种合适的风险评估方法是进行风险评估的关键，直接影响评估结果的优劣。

2 常用风险评估方法

21 定量分析方法

定量分析方法是根据一定的数据，建立数学模型，再去计算分析各项指标的一种方法。这种方法把整个风险评估的过程和结果量化，然后通过这些被量化的数值对信息系统进行评估判定。常见的定量分析方法有时序序列分析法、因子分析法、聚类分析法、决策树法等。定量分析方法由于在实际 *** 作过程中要收集大量的数据，所需工作量太大而且有时数据保密而无法获得或成本过高，纯定量分析方法已经很少使用。

22 定性分析方法

定性分析方法不需要严格的数据来量化各个属性，它采用人为的判断、只关注威胁事件所带来的损失，而忽略事件发生的概率。利用一些非量化的指标对信息系统进行判断，最后，根据风险评估计算公式得出风险值。常用的定性分析方法有：德尔菲法、OCTAVE方法等。

定性分析方法由于是非量化的，主观性强，对评估者要求相对较高，可以挖掘出一些蕴藏很深的思想，使评估的结论更全面、更深刻，使用比较广范。

23 定量定性结合分析方法

定量定性结合的分析方法是把前两种方法结合起来，取长补短，发挥各自的优势，比如在现场调查阶段，针对系统关键资产进行定量的调查、分析，提供量化的参考依据，在风险分析阶段，可以采用定性的分析形成概念、观点、作出判断，得出结论。常用的方法有层次分析法（AHP）、故障树分析方法、模糊综合评价法等。定量定性结合的分析方法由于网络环境的多元化，信息安全风险评估的不确定性因素随之增加，采用这种评估方法，能更精确地对大型系统进行风险评估，是实际应用中最常使用的方法。

3 风险评估新方法的发展

近年来，国内外学者对信息安全风险评估做了大量研究，人们也在探索更科学的理论、技术和方法。本文对风险评估的新方法进行探讨，希望有助于新方法的论证和推广应用。

国内学者基于前面三类常用方法做出了一些研究，将更多的新技术应用到信息安全风险评估中，提出了一些新的评估方法。如基于模糊层次法的评估方法、基于模糊-小波神经网络的评估方法、基于逻辑渗透图模型的评估方法、基于离散动态贝叶斯网络的评估方法等。

31 基于模糊层次法的评估方法

通过对层次分析法和模糊评价法分别进行改进，将两者有机结合，分析和评估风险事件发生的概率和影响，以确定各风险因素的风险等级，并给出了信息系统的风险控制建议。该方法通过算例表明是一种有效且 *** 作性强的方法。

32 基于模糊-小波神经网络的评估方法

此方法是将人工神经网络（ANN）理论应用到风险评估。首先将人工神经网络应用于信息系统风险因素评估，对神经网络的输入进行了预处理，将模糊系统的输出作为神经网络的输入。人工神经网络经过训练，可以实时地估算风险因素的级别。然后提出了一种信息安全风险评估的小波神经网络模型，该模型以非线性小波基为神经元函数，通过优化伸缩因子和平移因子确定对应各神经元的小波基函数，从而合成小波神经网络。该模型经过训练后可用于信息、安全风险因素的评估，精度更高。ITIL

　33 基于逻辑渗透图模型的评估方法

这是一种基于逻辑渗透图模型的网络安全风险评估方法）（LEG-SRA），该方法建立了一套识别网络系统需要受保护的安全目标的方法，该方法可将安全目标与网络系统的关信息资产及其安全需求关联起来。基于这种关联关系，能够在真实的业务背景下识别与分析各种风险因素，使风险评估结果和安全改进活动更具有现实意义;基于威胁主体的行为特征对安全风险的形成过程进行建模，确定威胁主体利用脆弱性制造风险的过程及其蕴含的时序逻辑，并在此基础上计算安全风险的最大成功概率;采用客观数据、主观数据和缺失数据相结合方法进行风险量化评估，通过对原子渗透敏感度和风险概率可信度来调整不确定数据对评估结果的影响，不断地进行数据采集和计算反馈，从而使得评估结果趋于更加精确和可信;评估结果可以直接支持科学的安全改进活动;针对不同的网络系统可以对评估方法进行定制，根据网络系统实际情况和评估者的意愿对评估流程进行动态调整，合理配置资源，突出安全管理的重点;能够监测风险的变化情况，这几个方面因素中任何因素的变化都可能触发新一轮评估周期，以产生新的适应于新形势的安全方案。

34 基于离散动态贝叶斯网络的评估方法

首先用指定的网络初始状态和条件概率对模型进行初始化;当某一时刻检测到新的风险指标变量信息，即网络的叶结点信息更新或者说是网络的观测结点的信息更新，则触发网络模型推理，通过推理算法，得到网络风险的后验概率，从而更新整个网络结点状态的概率分布，更新后的后验概率分布则作为下一时刻推理的依据;通过时序观测数据的不断输入模型，可得到网络实时风险，进而采取相应的措施对风险进行实时的控制。

以上四种方法是在对现阶段的大量研究进行解读后得到风险评估的新的方法，通过分析，我们可以得到：由于信息技术应用的更加广泛、信息安全风险因素难以获取、不确定性较多的特点，一种风险评估方法难以进行准确的风险分析，就要两种方法相结合，或者把先进的计算机技术应用到信息安全风险评估中，得到更精确，实践性更强的评估方法。新方法中的基于模糊层次法的评估方法、基于模糊-小波神经网络的评估方法可以应用于各个风险因素风险级别的计算;基于逻辑渗透图模型的评估方法、基于离散动态贝叶斯网络的评估方法可以动态的、实时的对网络信息系统进行风险评估。

4 结束语

对信息系统进行风险评估时，选择不同的方法对评估的有效性占有举足轻重的地位，直接影响到评估过程中的每个环节，甚至可以左右最终的评估结果，影响决策者的重大决定。所以在选择时应该考虑法律、法规、政策和标准要求;电子商务或者电子政务的特殊行业要求;风险评估方法应与风险接受准则和组织相关目标相一致，并能产生可再现的结果;风险评估应包括风险分析和风险评价;风险评估的结果应能识别、量化和区分风险的优先次序，用以指导确定适当的管理措施及其优先级。

更重要的是，每个人都需要理解可能会影响IT企业全部业务的几乎所有的风险。 风险可以分为四类，需要不同的缓解工具： 商业运营风险。一个评估要判断解决还是忽略某个具有挑战的威胁的风险。分析挑战性的威胁可以帮助企业决定是否投入必要的资源来战胜威胁。 判断如何对来自非传统的资源的挑战性威胁做出合理反映是非常困难的。例如，许多高技术企业都认为微软只不过是一群哈佛的退学生而已。他们因为没有理解到这个风险而付出了沉痛的代价。 适当的缓解工具是一个可以评估所有相关风险的良好的商业情况。对于新的商业机会来说，一个彻底的风险评估对于成功来说，就像是精确投入资金一样重要。 计划风险。对于通过的或者现有的计划来说，管理的关键集中在计划或者项目是否会在预算之内，高质量的按时交货。风险可以通过有效的项目管理和定期监控来降低。 业务中断风险。这种类型的风险影响了公司在困难的环境下继续运营的能力。场景从崩溃的服务器到被毁灭的建筑物，范围极其广泛。在大多数情况中，一个崩溃的服务器对于某些人来说只引起了微小的问题。相反，一个被毁灭的建筑物可能让所有的企业运行都停顿下来了。 风险可以通过持续的运行（COOP）计划来降低，这个计划描述了业务如何在各种困难中继续运转。大多数企业在开始的时候都会为数据中心准备了IT灾难恢复计划（DRP）。最终，DRP需要被扩宽，以便将重点集中在重新存储业务处理和发展为一个成熟的COOP计划上。 市场风险。这种类型的风险可以划分为地域和特定行业的风险。地域风险包括战争，恐怖行动和瘟疫，还有国家和进口限制。这些风险根据不同的国家、社会供应链的复杂度，以及该行业对于政治***的重要意义而有所区别。特定行业的风险也是多种多样。例如，金融服务必须通过信用挤压，债务抵押义务的彻底崩溃，以及结构化投资手段来进行竞争。消费产品制造商可能会因为“flash mobs”通过社会网络倾销他们的产品而感到苦恼。 场景计划可以通过制定应对各种不可能的事件的反应来降低风险。最重要的是，它尝试发现先前未知的风险，因为最危险的风险通常是你没有识别的风险。 采购行为——特别是离岸——增加了各个种类的风险。对这些风险的评估必须要解决类似通讯、逻辑困难、供应商变化，以及知识产权等特殊的关键点。 在着手开始任何风险评估之前，弄清楚哪个类型的风险对于你的执行管理来说最为紧要。然后选择合适的风险降低工具来解决潜在的困难。根据财务结果，风险的保单才会被批准。 彻底的风险评估可以为解决潜在威胁的结构化准备带来创造性的思维，这些创造性的思维对于成功至关重要。正如那句流传已久的格言所说，“预先警告就是预先武装。

信息安全风险评估通过对资产、 弱点、控制措施和威胁4个风险要素的识别与评估的综合获取被评估系统的风险值或风险级别,这4个风险要素之间存在复杂的关系,给风险评估的实施带来困难。 依据最新的国际、国内风险评估标准,提出一个基本的3层评估体系结构和以威胁为中心的风险评估模型,将其他风险要素的评估结果统一到威胁风险评估中,清晰 呈现了4个风险要素之间的关系,并适合于定性、定量或综合评估方法的实现。另外,3层体系结构也能用于实现不同细节层次上的风险评估的迭代循环。最后给出 了模糊理论评价法在此模型中的具体实现。

风险评估（Risk Assessment）是指在风险事件发生之后，对于风险事件给人们的生活、生命、财产等各个方面造成的影响和损失进行量化评估的工作。

风险无处不在，风险评估和管理在金融、投资、产品、交通、管理决策、健康医疗、生产安全、公共安全等行业领域中较为常见，受到更多的重视，尤其是监管机构和社会公众对于风险事故的理性反应，也反过来要求经营管理者对于风险的科学有效管理。

风险管理举例：某工厂粉尘爆炸、某地化学物质爆炸、金融危机、食品安全事故、某手机、汽车等产品召回事故。

风险管理在各行业存在着不同的技术工具，也有一定的共通性，ISO和IEC等国际标准化组织也有相关的标准文件，本文将首先对共同性的部分做初步分析，方便读者做迁移分析和应用。

首先了解风险管理和分析的初步框架和步骤： 风险和不确定性有关，也和概率有关，所以统计学工具在风险评估中可以提供参考价值。

风险损失、成本和收益的量化分析： 风险和损失的量化分析关系根据实际的行业和风险变量因素各有不同，这里先简要阐述一个简化模型： 首先建立假设线性模型，RL=a x+b y+cz+， RL=损失， a、b、c等于各风险加权系数，x、y、z等于风险变量。 其中损失可以分为有形损失和无形损失，例如财务损失，物品损失或名誉损失等等。 风险变量可以分为系统性风险和随机性风险。

将各个变量曲线累加后，得到总变量-损失曲线。

建模和分析步骤：

首先识别和筛选风险变量，可以通过头脑风暴、变量清单列举法、主要风险分析、情景分析、结构化假设分析SWIFT、失效模式分析、Delphi法、因果分析、潜在通路缝隙等方法，初步确定潜在风险变量。

选择风险变量可以参考MECE原则，完整列出所有变量，并排除重复变量。

例如下图举例，如果有统计数据支持，可以通过回归分析，相关度分析等工具，删除无效或重复、相关变量。 心理学领域内的因果分析举例：

工程技术领域内的故障树分析举例：

选择相关变量后，如果有相关统计数据作为支持，可以通过回归分析建立模型，使用最小二乘法获得最优模拟曲线，进行后续假设验证。

建立了初步的数学模型之后，可以使用决策树分析方法，确定可能性的风险事件和发生概率，计算出总损失。

在决策树建立时，往往需要结合收益和成本进行综合计算和决策分析，例如下图会加入收益概率和计算。

对于概率确定，可以通过经验或理论分析，或实证数据统计给出初步概率。理论分析需要确定事件的分布类型，基于测试或历史数据，对应根据概率密度函数和数学期望值，设定置信区间，之后更精确量化风险概率。 下图为正态分布示意图，置信区间越大，则离数学期望（平均值）偏离误差越大。

对于部分事件，需要进一步breakdown拆分子变量，得出最终概率，下图是事件树举例，计算出每年发生爆炸的概率：

如果A事件和B事件，C事件存在概率时间相关性，即条件概率，可以使用条件概率分析，例如著名的马克洛夫矩阵分析法：

对于成本、收益和损失的三者量化分析，需要将成本加入计算模型，例如在生产质量管理中，生产工艺管控和质量检测等成本变量随质量控制接受限来确定，质量管控严格程度一定意义上和风险发生概率存在负相关关系，质量要求越高，风险事故发生的可能性越小。

当总收益>总成本，则风险管理措施可行，否则需要从降低成本或提高收益等角度实现合理决策。 降低成本有若干方法，例如可以通过量本利分析、确定固定成本和变动成本曲线，提高产量，摊平质量管理成本。

风险损失不仅仅和概率有关，也和危险程度有关，而危险程度也影响到下述公式的系数，即a=矩阵[概率，危险程度] RL=a x+b y+cz+

根据危险程度和概率矩阵，具体行业和案例，进行量化加权计分，确定系数值。

以上就是关于自测题5:风险评估方法如何创新全部的内容，包括:自测题5:风险评估方法如何创新、当今企业面临的IT风险是什么、信息安全风险评估中，风险要素识别阶段出什么文档等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！