風(fēng)險(xiǎn)評估研究精選(九篇)

前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的風(fēng)險(xiǎn)評估研究主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：風(fēng)險(xiǎn)評估研究范文

關(guān)鍵詞：信息系統(tǒng)；風(fēng)險(xiǎn)；評估；管理

在當(dāng)前迅猛的科技信息技術(shù)傳播更新下，對于信息安全管理的工作也發(fā)生了重大的改變，其從傳統(tǒng)單一的技術(shù)管理手段改變?yōu)榧夹g(shù)與管理兩者相結(jié)合的較全面綜合管理手段；其從局部的管理模式改變到對于全局管理的系統(tǒng)管理模式；從最初存在較多問題的不完善經(jīng)驗(yàn)式管理改變到目前具有著分明的安全等級科學(xué)管理模式等。在風(fēng)險(xiǎn)評估上也從評估對象的綜合評估轉(zhuǎn)變到個因評估、從目前的現(xiàn)今評估發(fā)展到對未來趨勢的評估；又從靜態(tài)的評估方式轉(zhuǎn)變到動態(tài)評估方式；從最初的手動風(fēng)險(xiǎn)評估轉(zhuǎn)變到今天的全自動技術(shù)自動評估；從信息風(fēng)險(xiǎn)的定量評估改變到定性與定量兩者相結(jié)合等，以上的改變都證實(shí)了我國在信息安全管理上不斷努力的成效。結(jié)合目前我國信息系統(tǒng)的現(xiàn)狀來說，在現(xiàn)有基礎(chǔ)上對于相關(guān)信息系統(tǒng)科學(xué)理論、方法的更進(jìn)一步完善與創(chuàng)新，是勢在必行的，也是確保信息系統(tǒng)風(fēng)險(xiǎn)評估與管理工作不斷完善的必要前提。

一、信息系統(tǒng)風(fēng)險(xiǎn)評估方法的研究現(xiàn)狀

1.基于專家系統(tǒng)的風(fēng)險(xiǎn)評估工具

這種方法經(jīng)常利用專家系統(tǒng)建立規(guī)則和外部知識庫，通過調(diào)查問卷的方式收集組織內(nèi)部信息安全的狀態(tài)。對重要資產(chǎn)的威脅和脆弱點(diǎn)進(jìn)行評估，產(chǎn)生專家推薦的安全控制措施。這種工具通常會自動形成風(fēng)險(xiǎn)評估報(bào)告，安全風(fēng)險(xiǎn)的嚴(yán)重程度提供風(fēng)險(xiǎn)指數(shù)，同時分析可能存在的問題，以及處理辦法。

2.基于定性或定量算法的風(fēng)險(xiǎn)分析工具。

風(fēng)險(xiǎn)評估根據(jù)對各要素的指標(biāo)量化以及計(jì)算方法不同分為定性和定量的風(fēng)險(xiǎn)分析工具。風(fēng)險(xiǎn)分析作為重要的信息安全保障原則已經(jīng)很長時間。信息安全風(fēng)險(xiǎn)分析算法在很久以前就提出來，而且一些算法被作為正式的信息安全標(biāo)準(zhǔn)。這些標(biāo)準(zhǔn)大部分是定性的――也就是，他們對風(fēng)險(xiǎn)產(chǎn)生的可能性和風(fēng)險(xiǎn)產(chǎn)生的后果基于“低/中/高”這種表達(dá)方式，而不是準(zhǔn)確的可能性和損失量。隨著人們對信息安全風(fēng)險(xiǎn)了解的不斷深入，獲得了更多的經(jīng)驗(yàn)數(shù)據(jù)，因此人們越來越希望用定量的風(fēng)險(xiǎn)分析方法反映事故方式的可能性。

二、信息系統(tǒng)風(fēng)險(xiǎn)評估方法

1.對于定性評估來說，其主要的評估途徑是根據(jù)研究者在其所掌握的知識和所具備的經(jīng)驗(yàn)吸取以及政策走向等非量化的資料來對信息系統(tǒng)的狀況做出不同風(fēng)險(xiǎn)情況等級的判斷。在信息系統(tǒng)風(fēng)險(xiǎn)的評測中，定性分析乃是被使用較多的分析方法，其特點(diǎn)主要是只關(guān)注那些構(gòu)成危險(xiǎn)事件可能會帶來的損失，而不計(jì)算該威脅是否會發(fā)生。在實(shí)施定性評估的過程中并不使用具體的數(shù)據(jù)進(jìn)行評測，而是使用指定期望值來進(jìn)行評測，如，假設(shè)每一種存在的風(fēng)險(xiǎn)其風(fēng)險(xiǎn)影響度和預(yù)期風(fēng)險(xiǎn)的發(fā)生概率為低等、中等和高等，而不是確切的數(shù)字?？偟膩碚f，定性評估的優(yōu)點(diǎn)在于其可以使評估的結(jié)果更加深入、廣泛，但是很大的一個缺點(diǎn)在于其具有較強(qiáng)的主觀性，因此，對于定性評估來說，對評估者自身的專業(yè)素養(yǎng)和分析能力的要求是非常高的。

2.其次是定量評估，它去定性評估的區(qū)別是：定量評估是使用數(shù)量指標(biāo)來對風(fēng)險(xiǎn)進(jìn)行評測的，它在評估過程中，重點(diǎn)分析風(fēng)險(xiǎn)可能發(fā)生的概率和發(fā)生的風(fēng)險(xiǎn)危害程度所形成的比值，這與定性來說是截然相反的。因此，定量評估在進(jìn)行評測的同時大大增加了運(yùn)行機(jī)制和各項(xiàng)規(guī)范、制度等緊密結(jié)合的可操作性。定量評估的特點(diǎn)在于其使分析評估的目標(biāo)的對目標(biāo)采取的補(bǔ)救措施更加明確，在一目了然、清晰的數(shù)據(jù)中看到直觀的評測數(shù)據(jù)。美中不足的是，定量評估在其量化過程中容易將復(fù)雜的事物簡單化，容易造成疏漏。

3.就目前來說，將定性評估與定量評估兩者的有機(jī)結(jié)合是得到客觀、公正的評估結(jié)果最合適不過的方法，而且通過其兩者的相互融入，此消彼長，取長補(bǔ)短是非常科學(xué)的。因此，在對于信息系統(tǒng)的風(fēng)險(xiǎn)評估中，需要因地制宜，做到具體問題具體分析，如，在進(jìn)行風(fēng)險(xiǎn)評估時，遇到關(guān)于結(jié)構(gòu)化問題相對很強(qiáng)的時候可采用定量分析；反之，可使用定性分析；如問題的顯示既兼有結(jié)構(gòu)化又帶有非結(jié)構(gòu)化時，就可以采用定性評估與定量評估兩者結(jié)合的評測；這樣就能使遇到的問題復(fù)雜變簡單，簡單變迎刃而解。

三、信息系統(tǒng)動態(tài)風(fēng)險(xiǎn)管理模型與對策建議

1.基于態(tài)勢評估的風(fēng)險(xiǎn)預(yù)警、防范與控制

信息系統(tǒng)安全風(fēng)險(xiǎn)態(tài)勢評估值表示系統(tǒng)當(dāng)前是否安全，即通過當(dāng)前態(tài)勢值和正常情況下的態(tài)勢值比較可以判斷系統(tǒng)是否安全;也可以提供可能收到的信息系統(tǒng)威脅程度有多大的信息。通過評估己能夠得到過去和當(dāng)前的信息系統(tǒng)安全狀況，能給信息系統(tǒng)管理者預(yù)警。這些使得信息系統(tǒng)管理員能明確獲知信息系統(tǒng)攻擊的威脅程度，清晰的把握信息系統(tǒng)安全狀態(tài)，從而對信息系統(tǒng)現(xiàn)實(shí)的情況做出相應(yīng)的防范與控制措施。基于態(tài)勢評估的信息系統(tǒng)風(fēng)險(xiǎn)預(yù)警、防范與控制模型圖如下:

2.信息系統(tǒng)風(fēng)險(xiǎn)評估信息安全保障體系的建立

為有效控制信息系統(tǒng)面臨的安全風(fēng)險(xiǎn)，確保信息系統(tǒng)的安全、高效和可靠運(yùn)行，迫切需要構(gòu)建基于信息系統(tǒng)風(fēng)險(xiǎn)評估的整體信息安全保障體系，建立貫穿信息系統(tǒng)各個應(yīng)用環(huán)節(jié)的立體式安全防護(hù)，使其得到有效的安全保障，從而確保信息系統(tǒng)業(yè)務(wù)的順利進(jìn)行。

信息安全管理體系是組織整個管理體系的一部分，它基于業(yè)務(wù)風(fēng)險(xiǎn)方法，來建立、實(shí)施、運(yùn)行、監(jiān)視、評審、保持和改進(jìn)信息安全的。建立信息安全管理體系是“需求導(dǎo)向型的信息安全解決方案”的典型體現(xiàn)，通過體系的建設(shè)，可以有效解決組織面臨的信息安全問題，提高組織的信息安全防護(hù)能力。

風(fēng)險(xiǎn)評估是等級保護(hù)的出發(fā)點(diǎn)，也是安全建設(shè)的出發(fā)點(diǎn)，風(fēng)險(xiǎn)評估的結(jié)果可作為實(shí)施等級保護(hù)、等級安全建設(shè)的出發(fā)點(diǎn)和參考點(diǎn)，它為信息安全管理體系的控制目標(biāo)和控制措施的選擇提供依據(jù)，也是安全控制效果進(jìn)行測量評估的主要方法。等級保護(hù)是指導(dǎo)我國信息安全保障體系建設(shè)的一項(xiàng)基本管理制度，它是安全管理體系建設(shè)的基本原則，它的核心內(nèi)容是對信息系統(tǒng)安全分等級、按標(biāo)準(zhǔn)進(jìn)行建設(shè)、管理和監(jiān)督。

3.信息系統(tǒng)風(fēng)險(xiǎn)評估對于保護(hù)對象的有效識別

從目前國內(nèi)外信息系統(tǒng)的安全實(shí)踐看，信息系統(tǒng)存在許多威脅和潛在的風(fēng)險(xiǎn)。這些潛在的風(fēng)險(xiǎn)屬于信息安全管理范疇的問題。實(shí)施信息系統(tǒng)風(fēng)險(xiǎn)評估能夠有效識別需要保護(hù)的對象，知道了要保護(hù)什么，就會分析保護(hù)對象的特點(diǎn)、屬性，分析保護(hù)對象存在的脆弱性(既包括技術(shù)脆弱性，也包括管理脆弱性)和面臨的安全威脅，從而有針對性地選擇控制措施來應(yīng)對具體的風(fēng)險(xiǎn)，尤其對于管理脆弱性，可以通過制定相應(yīng)的策略和程序來加以控制，這正適合于解決信息系統(tǒng)中存在的信息安全問題。

總結(jié)：

第2篇：風(fēng)險(xiǎn)評估研究范文

1.1縱向結(jié)構(gòu)

云計(jì)算環(huán)境縱向分層架構(gòu)采用了CSA的云框架，自上向下依次分為：基礎(chǔ)設(shè)施（包括物理環(huán)境、設(shè)備主機(jī)、網(wǎng)絡(luò)、存儲）；虛擬化層（包括主機(jī)虛擬化、網(wǎng)絡(luò)虛擬化、存儲虛擬化和交付與連接）；集成與中間件（包括操作系統(tǒng)、數(shù)據(jù)庫、中間件、開發(fā)框架、接口）；數(shù)據(jù)安全（包括平臺數(shù)據(jù)安全、應(yīng)用數(shù)據(jù)安全）；應(yīng)用平臺（包括展現(xiàn)、應(yīng)用、應(yīng)用接口）；云管理平臺（包括運(yùn)維管理、運(yùn)營管理、云服務(wù)水平協(xié)議SLA、調(diào)度管理）；云環(huán)境與云服務(wù)的安全管理（包括安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理）。

1.2橫向結(jié)構(gòu)

云計(jì)算環(huán)境的橫向結(jié)構(gòu)參照以下六項(xiàng)安全要求：保密性（C），完整性（I），可用性（Av），性能（P），責(zé)任性（Ac），可維護(hù)性（M），在縱向結(jié)構(gòu)的二級層次上按六項(xiàng)安全要求進(jìn)行劃分，如果該層沒有某項(xiàng)安全要求則無需添加，安全要求后面補(bǔ)充該安全要求下的具體內(nèi)容。如應(yīng)用平臺下的數(shù)據(jù)層主要涉及保密性、完整性、可用性要求。

2云計(jì)算環(huán)境風(fēng)險(xiǎn)描述

云計(jì)算環(huán)境的風(fēng)險(xiǎn)主要有保密性、完整性、可用性、性能、可追究性和可維護(hù)性六個方面。

2.1保密性風(fēng)險(xiǎn)

保密性風(fēng)險(xiǎn)包括影響用戶數(shù)據(jù)隱私和保密性的惡意攻擊，例如通信竊聽、數(shù)據(jù)被供應(yīng)商提供給未授權(quán)第三方的風(fēng)險(xiǎn)等。保密性風(fēng)險(xiǎn)主要包括以下幾項(xiàng)：①供應(yīng)商獲取敏感數(shù)據(jù)；②數(shù)據(jù)保密性破壞；③數(shù)據(jù)被供應(yīng)商泄露；④防竊聽措施不充分；⑤通信竊聽。

2.2完整性風(fēng)險(xiǎn)

完整性是指數(shù)據(jù)不能被非授權(quán)人員修改、操作等。當(dāng)信息在傳輸、存儲或運(yùn)行時，任何未授權(quán)的信息修改都會導(dǎo)致完整性被破壞。完整性風(fēng)險(xiǎn)主要包括以下幾項(xiàng)：①供應(yīng)商方的數(shù)據(jù)操縱；②傳輸數(shù)據(jù)的意外性篡改；③操縱傳輸中的數(shù)據(jù)；④供應(yīng)商方的意外性數(shù)據(jù)篡改。

2.3可用性風(fēng)險(xiǎn)

可用性指當(dāng)用戶需要時可以對服務(wù)或數(shù)據(jù)進(jìn)行訪問。針對可用性的惡意攻擊目的在于破壞云計(jì)算服務(wù)的可用性，通常表現(xiàn)為對網(wǎng)絡(luò)實(shí)施拒絕服務(wù)（DoS）攻擊，通過對服務(wù)器發(fā)送大量請求導(dǎo)致服務(wù)器過載。

2.4性能風(fēng)險(xiǎn)

如果云計(jì)算服務(wù)具備高性能性，這表示服務(wù)和數(shù)據(jù)的使用可以高效滿足客戶的需求。對于IT外部服務(wù)一個關(guān)鍵的問題是網(wǎng)絡(luò)技術(shù)問題導(dǎo)致的性能低下。例如，服務(wù)交付的速度可能會由于吞吐量問題、高響應(yīng)時間、帶寬限制而降低。

2.5可追究性風(fēng)險(xiǎn)

當(dāng)認(rèn)證機(jī)制正常運(yùn)行并且當(dāng)使用服務(wù)和數(shù)據(jù)時能夠被應(yīng)用于標(biāo)識的用戶，那么可追究性要求就不會被破壞?？勺肪啃燥L(fēng)險(xiǎn)主要包括以下幾項(xiàng)：①未授權(quán)訪問；②攻擊者生成的額外費(fèi)用；③身份假冒；④操作行為記錄缺失；⑤用戶隔離缺失。

2.6可維護(hù)性風(fēng)險(xiǎn)

如果云服務(wù)可以滿足用戶的需求并且供應(yīng)商可以確保及時維護(hù)、支持云服務(wù)，那么云服務(wù)就滿足可維護(hù)性?？删S護(hù)性風(fēng)險(xiǎn)主要有以下幾種：①新技術(shù)的不兼容；②業(yè)務(wù)變化的不靈活性；③業(yè)務(wù)流程的不兼容；④昂貴的必要性修復(fù)；⑤數(shù)據(jù)導(dǎo)入受限；⑥維護(hù)不充分。

3基于云計(jì)算環(huán)境的風(fēng)險(xiǎn)評估模型

針對云計(jì)算環(huán)境中存在的風(fēng)險(xiǎn)，本文提出了一種基于云計(jì)算環(huán)境的風(fēng)險(xiǎn)評估模型，該模型首先識別每一要求下的安全要素（包括資產(chǎn)、脆弱性和威脅），然后對風(fēng)險(xiǎn)進(jìn)行賦值，進(jìn)而確定每一風(fēng)險(xiǎn)的安全事件發(fā)生損失和發(fā)生可能性。

3.1資產(chǎn)識別和賦值

在資產(chǎn)調(diào)查基礎(chǔ)上，需分析資產(chǎn)的保密性、完整性、可用性、性能、可追究性、可維護(hù)性等安全要求的等級，安全要求等級包括：很高、高、中等、低、很低五種級別，某種安全屬性級別越高表示資產(chǎn)該安全屬性越重要。因資產(chǎn)的六個安全要求的量化過程易帶有主觀性，可以參考如下因素，利用加權(quán)等方法綜合得出資產(chǎn)保密性、完整性、可用性、性能、可追究性、可維護(hù)性等安全屬性的賦值等級：①資產(chǎn)所承載云計(jì)算信息系統(tǒng)的重要性；②資產(chǎn)所承載云計(jì)算信息系統(tǒng)的安全等級；③資產(chǎn)對所承載云計(jì)算環(huán)境安全正常運(yùn)行的重要程度；④資產(chǎn)保密性、完整性、可用性等安全屬性對云計(jì)算信息系統(tǒng)，以及相關(guān)業(yè)務(wù)的重要程度。

3.2脆弱性識別和賦值

脆弱性賦值方面，我們需要首先建立起云計(jì)算信息系統(tǒng)脆弱性安全檢查與評估指標(biāo)體系。對于云計(jì)算環(huán)境下的系統(tǒng)來說：一方面，云計(jì)算系統(tǒng)是信息系統(tǒng)的一種，它必然需要遵循對信息系統(tǒng)的各項(xiàng)安全要求；另一方面，云計(jì)算系統(tǒng)相對于傳統(tǒng)的信息系統(tǒng)來說，具有自己的特殊性和安全特性，這就要求在傳統(tǒng)信息系統(tǒng)安全體系的基礎(chǔ)上，細(xì)化和補(bǔ)充針對云計(jì)算系統(tǒng)的安全檢查和評估指標(biāo)項(xiàng)，比如虛擬化安全、云管理與云服務(wù)安全等。針對虛擬化層的主機(jī)虛擬化的保密性要求方面，分析存在哪些安全風(fēng)險(xiǎn)，針對這些風(fēng)險(xiǎn)，主機(jī)虛擬化產(chǎn)品應(yīng)提供哪些具體的安全措施（即安全保護(hù)要求），具體指標(biāo)項(xiàng)來源于對這些安全保護(hù)要求的測評細(xì)則。

3.3威脅識別和賦值

威脅賦值的主要依據(jù)是威脅頻率，可以查閱國內(nèi)外相關(guān)報(bào)告，例如，CSA公布了九項(xiàng)頂級威脅，按照威脅發(fā)生頻率高低排名依次為：數(shù)據(jù)泄露、數(shù)據(jù)丟失、賬戶和服務(wù)劫持、不安全的接口、拒絕服務(wù)、內(nèi)部人員惡意行為、云服務(wù)的濫用、不充分的審查、共享技術(shù)漏洞。在威脅賦權(quán)值的時候，可以對發(fā)生率排名靠前的威脅賦予較高的權(quán)值，靠后的威脅賦予較低的權(quán)值。評估者也可以根據(jù)自身業(yè)務(wù)特點(diǎn)和以往實(shí)際環(huán)境下對威脅發(fā)生數(shù)目的統(tǒng)計(jì)情況進(jìn)行賦值調(diào)整。

4結(jié)論

第3篇：風(fēng)險(xiǎn)評估研究范文

一、引言

電子政務(wù)是指政府運(yùn)用現(xiàn)代計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)，將其承擔(dān)的公共管理和服務(wù)職能轉(zhuǎn)移到網(wǎng)絡(luò)上進(jìn)行，同時實(shí)現(xiàn)政府組織結(jié)構(gòu)和工作流程的重組優(yōu)化，超越時間、空間和部門分隔的制約，向社會提供高效優(yōu)質(zhì)、規(guī)范透明和全方位的管理與服務(wù)。電子政務(wù)的實(shí)施使得政府事務(wù)變得公開、高效、透明、廉潔，并實(shí)現(xiàn)全方位的信息共享。與此同時，政務(wù)信息系統(tǒng)的安全問題也變得非常重要。政務(wù)信息系統(tǒng)的安全一旦發(fā)生問題，就會影響其功能的發(fā)揮，甚至對政府部門和社會公眾產(chǎn)生危害，嚴(yán)重的還將對國家信息安全乃至國家安全產(chǎn)生威脅。

目前，電子政務(wù)系統(tǒng)的安全風(fēng)險(xiǎn)問題越來越受到重視，因此有必要對電子政務(wù)系統(tǒng)的安全性進(jìn)行評估。對電子政務(wù)系統(tǒng)的風(fēng)險(xiǎn)評估，就是對信息系統(tǒng)的脆弱性、信息系統(tǒng)面臨的威脅及其發(fā)生的可能性，以及脆弱性被威脅源利用后所產(chǎn)生的負(fù)面影響的評估。信息系統(tǒng)安全的風(fēng)險(xiǎn)評估結(jié)果，對組織機(jī)構(gòu)在信息安全措施的選擇、信息安全保障體系的建設(shè)等問題做出合理的決策有著重要的指導(dǎo)作用。

本文主要是根據(jù)英國標(biāo)準(zhǔn)協(xié)會（British Standard Institute）制定的信息安全標(biāo)準(zhǔn)BS7799，基于大量的安全行業(yè)經(jīng)驗(yàn)，借助漏洞掃描等先進(jìn)的技術(shù)，從內(nèi)部和外部兩個角度，對電子政務(wù)系統(tǒng)存在的安全威脅和脆弱性進(jìn)行分析，對系統(tǒng)面臨的風(fēng)險(xiǎn)進(jìn)行全面的評估，并通過制定相應(yīng)措施消除、減少、監(jiān)控脆弱性以求降低風(fēng)險(xiǎn)性，從而保障信息系統(tǒng)的機(jī)密性、完整性和可用性。

二、電子政務(wù)系統(tǒng)安全風(fēng)險(xiǎn)評估的關(guān)系模型及分析方法

電子政務(wù)系統(tǒng)安全風(fēng)險(xiǎn)評估是依據(jù)國家有關(guān)的政策法規(guī)及信息技術(shù)標(biāo)準(zhǔn)，對系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進(jìn)行科學(xué)、公正的綜合評估的活動過程。風(fēng)險(xiǎn)評估要求對信息系統(tǒng)的脆弱性、信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的實(shí)際負(fù)面影響進(jìn)行評估，并根據(jù)安全事件發(fā)生的可能性和負(fù)面影響的程度來識別信息系統(tǒng)的安全風(fēng)險(xiǎn)。

⒈電子政務(wù)風(fēng)險(xiǎn)評估的關(guān)系模型

風(fēng)險(xiǎn)評估的出發(fā)點(diǎn)是對與風(fēng)險(xiǎn)有關(guān)的各因素的確認(rèn)和分析，各因素之間的關(guān)系可以用圖1所示的模型來表示。圖1中的箭頭及標(biāo)示信息對信息安全風(fēng)險(xiǎn)相關(guān)的各類因素之間的關(guān)系做出了說明，這些因素之間的主要關(guān)系對風(fēng)險(xiǎn)評估的實(shí)施方法是很重要的，概述如下：

――威脅和薄弱點(diǎn)因素都將導(dǎo)致安全風(fēng)險(xiǎn)增加，資產(chǎn)擁有的價(jià)值越大，其可能存在的安全風(fēng)險(xiǎn)也越大，而風(fēng)險(xiǎn)控制則用來降低安全風(fēng)險(xiǎn)；

――威脅因素產(chǎn)生和增加安全風(fēng)險(xiǎn)的過程是：利用系統(tǒng)中的薄弱點(diǎn)實(shí)施攻擊（或其他破壞），從而對資產(chǎn)的價(jià)值造成不利影響，導(dǎo)致產(chǎn)生和增加安全風(fēng)險(xiǎn)；

――薄弱點(diǎn)對風(fēng)險(xiǎn)的增加只能通過威脅對其利用的過程來完成；

――安全要求的引出來自于安全風(fēng)險(xiǎn)，這體現(xiàn)了認(rèn)識和確定風(fēng)險(xiǎn)的意義所在。

由此可以看出，威脅和薄弱點(diǎn)增加風(fēng)險(xiǎn)的方式是不同的。對于信息系統(tǒng)內(nèi)的資產(chǎn)來說，威脅是外部因素，而脆弱性則為系統(tǒng)自身所有，它們相當(dāng)于矛盾的外因和內(nèi)因。

風(fēng)險(xiǎn)評估的過程就是將這些因素間的關(guān)系體現(xiàn)出來，查看組織機(jī)構(gòu)是否屬于以下三種情況之一：

――當(dāng)風(fēng)險(xiǎn)在可以接受的情況下，即使系統(tǒng)面臨威脅，也不需要采取安全措施；

――系統(tǒng)存在某些脆弱點(diǎn)，但還沒有被威脅所利用，這時需要安全措施能夠監(jiān)控威脅環(huán)境，以防止利用該脆弱點(diǎn)的威脅的發(fā)生；

――被采取的安全措施保護(hù)資產(chǎn)、減少威脅發(fā)生所造成的影響，將殘余風(fēng)險(xiǎn)降低到可接受的程度。

研究表明，組織機(jī)構(gòu)的信息系統(tǒng)的安全程度應(yīng)該要滿足組織機(jī)構(gòu)現(xiàn)在的應(yīng)用需求；如果顯示組織機(jī)構(gòu)的信息系統(tǒng)存在不可接受的風(fēng)險(xiǎn)，那么就應(yīng)該對該信息系統(tǒng)的安全措施進(jìn)行改進(jìn)，以達(dá)到第三種情況的要求。

⒉電子政務(wù)系統(tǒng)的常用風(fēng)險(xiǎn)分析方法及其比較

目前，由于我國信息系統(tǒng)風(fēng)險(xiǎn)的安全評估才剛剛起步，因此我國現(xiàn)在所做的評估工作主要以定性評估為主，而定量分析尚處于研究階段。在風(fēng)險(xiǎn)評估過程中，可以采用多種操作方法，包括基于知識的分析方法、基于模型的分析方法、定性分析和定量分析，等等。無論采用何種方法，其共同的目標(biāo)都是找出組織機(jī)構(gòu)的信息系統(tǒng)面臨的風(fēng)險(xiǎn)及其影響，以及目前該信息系統(tǒng)安全水平與組織機(jī)構(gòu)安全需求之間的差距。

⑴定量分析方法

定量分析方法的思想是，對構(gòu)成風(fēng)險(xiǎn)的各個要素和潛在損失的水平賦以數(shù)值或貨幣的金額，當(dāng)度量風(fēng)險(xiǎn)的所有要素（資產(chǎn)價(jià)值、威脅可能性、弱點(diǎn)利用程度、安全措施的效率和成本等）都被賦值，風(fēng)險(xiǎn)評估的整個過程和結(jié)果就可以量化。

從定量分析的過程中可以發(fā)現(xiàn)，最為關(guān)鍵的是對威脅事件發(fā)生的可能性和威脅事件可能引起的損失的量化。從理論上看，通過定量分析可以對安全風(fēng)險(xiǎn)進(jìn)行準(zhǔn)確的分級，能夠獲得很好的風(fēng)險(xiǎn)評估結(jié)果。但是，對安全風(fēng)險(xiǎn)進(jìn)行準(zhǔn)確分級的前提是保證可供參考的數(shù)據(jù)指標(biāo)正確，而對于信息系統(tǒng)日益復(fù)雜多變的今天，這個前提是很難得到保證的。由于數(shù)據(jù)統(tǒng)計(jì)缺乏長期性，計(jì)算過程又極易出錯，定量分析的細(xì)化非常困難，所以目前風(fēng)險(xiǎn)評估分析很少完全只用定量的分析方法進(jìn)行分析。

⑵定性分析方法

定性分析方法是目前采用最為廣泛的一種方法，它需要憑借評估分析者的經(jīng)驗(yàn)、知識和直覺，結(jié)合標(biāo)準(zhǔn)和慣例，為風(fēng)險(xiǎn)評估要素的大小或高低程度定性分級，帶有很強(qiáng)的主觀性。定性分析的操作方法可以多種多樣，包括小組討論（如Delphi方法）、檢查列表、問卷、人員訪談、調(diào)查等。定性分析操作起來相對容易，但可能會因?yàn)樵u估分析者在經(jīng)驗(yàn)和直覺上的偏差而使分析結(jié)果失準(zhǔn)。

⑶定量和定性分析方法的比較

與定量分析相比，定性分析的準(zhǔn)確性較好但精確性不夠，而定量分析則相反；定性分析沒有定量分析的計(jì)算負(fù)擔(dān)，但要求分析者具備一定的經(jīng)驗(yàn)和能力；定量分析依賴大量的統(tǒng)計(jì)數(shù)據(jù)，定性分析則沒有這方面的要求；定性分析較為主觀，定量分析基于客觀；定量分析的結(jié)果很直觀，容易理解，而定性分析的結(jié)果則很難統(tǒng)一。由于定量分析和定性分析兩種方法各有其優(yōu)缺點(diǎn)，現(xiàn)在的風(fēng)險(xiǎn)評估大都采用兩者相結(jié)合的方法進(jìn)行分析，在不容易獲得準(zhǔn)確數(shù)據(jù)的情況下采用定性分析方法，在定性分析的基礎(chǔ)上使用定量方法進(jìn)行計(jì)算以減少其主觀性。

三、電子政務(wù)系統(tǒng)安全風(fēng)險(xiǎn)評估要素的提取原則、方法及量化

電子政務(wù)系統(tǒng)安全的風(fēng)險(xiǎn)評估是一個復(fù)雜的過程，它涉及系統(tǒng)中物理環(huán)境、管理體系、主機(jī)安全、網(wǎng)絡(luò)安全和應(yīng)急體系等方面。要在這么廣泛的范圍內(nèi)對一個復(fù)雜的系統(tǒng)進(jìn)行一個全面的風(fēng)險(xiǎn)評估，就需要對系統(tǒng)有一個非常全面的了解，對系統(tǒng)構(gòu)架和運(yùn)行模式有一個清醒的認(rèn)識?？梢?，要做到這一點(diǎn)就需要進(jìn)行廣泛的調(diào)研和實(shí)踐調(diào)查，深入系統(tǒng)內(nèi)部，運(yùn)用多種科學(xué)手段來獲得信息。

⒈評估要素提取的原則

評估要素提取是指通過各種方式獲取風(fēng)險(xiǎn)評估所需要的信息。評估要素提取是保證風(fēng)險(xiǎn)評估得以正常運(yùn)行的基礎(chǔ)和前提。評估要素提取得成功與否，直接關(guān)系到整個風(fēng)險(xiǎn)評估工作和安全信息管理工作的質(zhì)量。為了保證所獲取信息的質(zhì)量，應(yīng)堅(jiān)持以下原則：

⑴準(zhǔn)確性原則。該原則要求所收集到的信息要真實(shí)、可靠，這是信息收集工作的最基本要求；

⑵全面性原則。該原則要求所搜集到的信息要廣泛、全面完整；

⑶時效性原則。信息的利用價(jià)值取決于該信息是否能及時地提供，即具備時效性。

⒉評估要素提取的方法

信息系統(tǒng)風(fēng)險(xiǎn)評估中涉及到的多種因素包括資產(chǎn)、威脅、漏洞和安全措施。

信息系統(tǒng)的資產(chǎn)包括數(shù)據(jù)資產(chǎn)、軟件、人員、硬件和服務(wù)資產(chǎn)等（參見表1）。資產(chǎn)的價(jià)值由固有價(jià)值、它所受傷害的近期影響和長期結(jié)果所組成。

目前使用的風(fēng)險(xiǎn)評估方法大多需要對多種形式資產(chǎn)進(jìn)行綜合評估，所獲取的信息范圍應(yīng)包含全部的上述內(nèi)容，只有這樣，其結(jié)果才是有效全面的。同時，資產(chǎn)評估時還要考慮以下方面：

――業(yè)務(wù)中最重要的部分是什么？如何通過使用或處理信息而使它們得到支持？這種支持的重要程度如何？

――哪些關(guān)于資產(chǎn)的重要決定取決于信息的準(zhǔn)確度、完整性或可用性？

――哪些資產(chǎn)信息需要加以保護(hù)？

――安全事件對業(yè)務(wù)或者對該組織的資產(chǎn)影響是什么？

在考慮安全事件對組織資產(chǎn)的影響時，可以參考以下4個方面：

――信息資產(chǎn)的購買價(jià)值；

――信息資產(chǎn)的損毀對組織業(yè)務(wù)的影響；

――信息資產(chǎn)的損毀對政府形象的負(fù)面影響；

――信息資產(chǎn)的損毀對政府長期規(guī)劃和遠(yuǎn)景發(fā)展的影響。

在進(jìn)行資產(chǎn)、威脅和漏洞信息獲取時，需要整體考慮以下的對應(yīng)關(guān)系：

――每一項(xiàng)資產(chǎn)可能存在多個威脅；

――威脅的來源可能不止一個，應(yīng)從人員（包括內(nèi)部和外部）、環(huán)境（如自然災(zāi)害）、資產(chǎn)本身（如設(shè)備故障）等方面加以考慮；

――每一個威脅可能利用一個或是數(shù)個薄弱點(diǎn)；

――每個薄弱點(diǎn)對系統(tǒng)的威脅程度和等級有很大的不同，有的威脅不能消除，只能采取降低威脅程度的策略；

――要考慮各種威脅之間的相互依賴關(guān)系和交叉關(guān)系；

――考慮威脅薄弱點(diǎn)等隨時間和信息系統(tǒng)的進(jìn)化而變化的特點(diǎn)，對其要以發(fā)展的觀點(diǎn)進(jìn)行分析。

⒊評估要素量化

對每個安全要素的危害性采取風(fēng)險(xiǎn)模式影響及危害性分析法進(jìn)行分析，最終得到被評估系統(tǒng)的風(fēng)險(xiǎn)狀況。

風(fēng)險(xiǎn)影響等級的劃分見表2。

為了計(jì)算方便，對（v1，v2，v3，v4 ，v5）用（0，0.2，0.5，0.8，1）表示。同時為了討論方便，在這里定義如表3所示的表示符號。

根據(jù)信息安全管理體系BS7799的結(jié)構(gòu)特點(diǎn)，對安全要素風(fēng)險(xiǎn)事件的分析主要建立在前三層上。

標(biāo)準(zhǔn)中的第一層是十大管理要項(xiàng)，它標(biāo)識了被評估系統(tǒng)在各個資產(chǎn)上的重要程度。λi表示系統(tǒng)資產(chǎn)權(quán)重分配情況，此時有=1。

標(biāo)準(zhǔn)中的第二層是管理目標(biāo)層，根據(jù)BS7799標(biāo)準(zhǔn)的結(jié)構(gòu)特點(diǎn)，對該層安全要素的風(fēng)險(xiǎn)分析主要是確立其危害程度。該危害程度由評估專家和系統(tǒng)用戶參照表2制定。這里采用Ei,j表示第i個管理要項(xiàng)下的第j個管理目標(biāo)風(fēng)險(xiǎn)的安全要素危害程度。

標(biāo)準(zhǔn)中的第三層是控制措施層，對該層安全要素的風(fēng)險(xiǎn)分析主要考慮安全要素風(fēng)險(xiǎn)發(fā)生的重要程度。用λi,j,k代表第i個管理要項(xiàng)下的第j個管理目標(biāo)下的第k個控制措施的安全要素風(fēng)險(xiǎn)權(quán)重系數(shù)。此時，有=1（第j個管理目標(biāo)下有m個控制措施）。

確立每一層安全要素風(fēng)險(xiǎn)評價(jià)如下：

假設(shè)第i個管理要項(xiàng)下的第j個管理目標(biāo)下的第k個控制措施風(fēng)險(xiǎn)發(fā)生的概率是αi,j,k，則有：

第i個管理要項(xiàng)下的第j個管理目標(biāo)的風(fēng)險(xiǎn)發(fā)生概率是：

Vi,j=（假設(shè)第j個管理目標(biāo)下有m個控制措施）

第i個管理要項(xiàng)的風(fēng)險(xiǎn)評價(jià)是：

Vi=（假設(shè)第i個管理要項(xiàng)下有n個管理目標(biāo)）

最終的風(fēng)險(xiǎn)評價(jià)是：V=

綜合可得系統(tǒng)風(fēng)險(xiǎn)評價(jià)表達(dá)式：

V==

式中：λi由被評估系統(tǒng)的用戶或評估發(fā)起者在填寫評估任務(wù)時分配。λi,j,k、Ei,j可以通過風(fēng)險(xiǎn)評估數(shù)據(jù)庫中的權(quán)重系數(shù)表和危害程度表獲取。

最后通過判斷V落在預(yù)先定義好風(fēng)險(xiǎn)評價(jià)集的哪一部分，即可判斷被評估系統(tǒng)的風(fēng)險(xiǎn)等級。參照相應(yīng)的風(fēng)險(xiǎn)等級的描述，從而可以得到被評估系統(tǒng)的總體風(fēng)險(xiǎn)狀況及具體改進(jìn)意見。

四、電子政務(wù)系統(tǒng)安全風(fēng)險(xiǎn)評估的流程

電子政務(wù)系統(tǒng)安全的風(fēng)險(xiǎn)評估是組織機(jī)構(gòu)確定信息安全需求的過程，包括環(huán)境特性評估、資產(chǎn)識別與評價(jià)、威脅和弱點(diǎn)評估、控制措施評估、風(fēng)險(xiǎn)認(rèn)定等在內(nèi)的一系列活動（風(fēng)險(xiǎn)評估的流程詳見圖2）。

五、電子政務(wù)系統(tǒng)安全風(fēng)險(xiǎn)評估的實(shí)施

電子政務(wù)系統(tǒng)安全的風(fēng)險(xiǎn)評估是一項(xiàng)復(fù)雜的工程，除了應(yīng)遵循一定的流程外，選擇合理的方法也很重要。為了使風(fēng)險(xiǎn)評估全面、準(zhǔn)確、真實(shí)地反映系統(tǒng)的安全狀態(tài)，在實(shí)施風(fēng)險(xiǎn)評估過程中需要采用多種方法。通過對安徽行政學(xué)院開發(fā)的電子政務(wù)模擬教學(xué)系統(tǒng)的風(fēng)險(xiǎn)評估,證明這樣的評估流程是正確可行的，其實(shí)施過程如下：

⒈參與系統(tǒng)實(shí)踐

系統(tǒng)實(shí)踐是獲得信息系統(tǒng)真實(shí)可靠信息的最重要手段。系統(tǒng)實(shí)踐是指深入信息系統(tǒng)內(nèi)部，親自參與系統(tǒng)的運(yùn)行，并運(yùn)用觀察、操作等方法直接從信息系統(tǒng)中了解情況，收集資料和數(shù)據(jù)的活動。

⒉建立問卷調(diào)查表

問卷調(diào)查表是通過問題表的形式，事先將需要了解的問題列舉出來，通過讓信息系統(tǒng)相關(guān)人員回答相關(guān)問題而獲取信息的一種有效方式?，F(xiàn)在的信息獲取經(jīng)常利用這種方式，它具有實(shí)施方便，操作方便，所需費(fèi)用少，分析簡潔、明快等特點(diǎn)，所以得到了廣泛的應(yīng)用。但是它的靈活性較少，得到的信息有時不太清楚，具有一定的模糊性，信息深度不夠等；還需要其他的方式來配合和補(bǔ)充。

⒊實(shí)用輔助工具的使用

在信息系統(tǒng)中，網(wǎng)絡(luò)安全狀況、主機(jī)安全狀況等難以用眼睛觀察出來，需要借助優(yōu)秀的網(wǎng)絡(luò)和系統(tǒng)檢測工具來監(jiān)測。輔助工具能夠發(fā)現(xiàn)系統(tǒng)的某些內(nèi)在的弱點(diǎn)，以及在配置上可能存在的威脅系統(tǒng)安全的錯誤，這些因素很可能就是破壞目標(biāo)主機(jī)安全性的關(guān)鍵性因素。輔助工具能幫助發(fā)現(xiàn)系統(tǒng)中的安全隱患，但并不能完全代替人做所有的工作，而且掃描的結(jié)果往往是不全面的。

⒋從文獻(xiàn)檔案中獲取信息

文獻(xiàn)和檔案記錄了關(guān)于信息系統(tǒng)的許多重要的參數(shù)和特性。通過文檔和資料的查閱，可以獲取比較完整的系統(tǒng)信息，獲得系統(tǒng)的歷史經(jīng)驗(yàn)。在風(fēng)險(xiǎn)評估過程中，這也是十分重要的一種信息獲取方式。

總之，在進(jìn)行全面問卷調(diào)查和現(xiàn)場測試的基礎(chǔ)上，經(jīng)過集中分析研究，可以得出《電子政務(wù)系統(tǒng)安全分析報(bào)告》，報(bào)告應(yīng)該包括以下內(nèi)容：關(guān)鍵資產(chǎn)清單、安全威脅和脆弱性清單、分類和概率分布、實(shí)施的保護(hù)措施清單、風(fēng)險(xiǎn)等級和分類、保護(hù)措施建議、整體安全風(fēng)險(xiǎn)評價(jià)及應(yīng)急處理議案，等等。

六、結(jié)論

隨著信息安全工作的重要性和緊迫性得到越來越廣泛的認(rèn)同，對風(fēng)險(xiǎn)評估的研究也在不斷地深入。風(fēng)險(xiǎn)評估是一個從理論到實(shí)踐,再從實(shí)踐到理論的過程,在不斷的往復(fù)循環(huán)中得以逐步完善。經(jīng)過幾年的探索,我國有關(guān)方面已經(jīng)在信息安全風(fēng)險(xiǎn)評估方面做了大量工作，積累了一些寶貴的經(jīng)驗(yàn),然而由于起步晚,也存在以下一些亟待解決的問題：

⑴國內(nèi)外風(fēng)險(xiǎn)評估方法的研究有待于在實(shí)踐中檢驗(yàn)；

⑵風(fēng)險(xiǎn)評估的工作流程和技術(shù)標(biāo)準(zhǔn)有待完善；

⑶自動化的風(fēng)險(xiǎn)評估工具有待加大研發(fā)投入和推廣。

參考文獻(xiàn)：

朱方洲，李旭軍.電子政務(wù)安全保障體系的研究[J].電腦學(xué)習(xí)，2006（3）：42-43

馬立鋼，夏軍利.信息系統(tǒng)安全風(fēng)險(xiǎn)評估[J].現(xiàn)代計(jì)算機(jī)：專業(yè)版，2006（1）：49-53

王大虎，楊維，柳艷紅.移動通信信息系統(tǒng)安全風(fēng)險(xiǎn)評估的研究[J].中國安全科學(xué)學(xué)報(bào)，2005，15（7）：74-78

聶曉偉，張玉清，楊鼎才，等.基于BS7799標(biāo)準(zhǔn)風(fēng)險(xiǎn)評估方法的設(shè)計(jì)與應(yīng)用[J].計(jì)算機(jī)工程，2005，31（19）：70-72

科飛管理咨詢公司.信息安全管理概論―理解與實(shí)施[M].北京：機(jī)械工業(yè)出版社，2002

閆強(qiáng)，陳鐘，段云所，等.信息安全評估標(biāo)準(zhǔn)、技術(shù)及其進(jìn)展[J].計(jì)算機(jī)工程，2003（6）

作者簡介：

周偉良，1967年生，湖南長沙人，安徽行政學(xué)院(安徽經(jīng)濟(jì)管理學(xué)院)信息管理系主任，副教授，博士，主要研究方向?yàn)殡娮诱?wù)、管理信息系統(tǒng)。

第4篇：風(fēng)險(xiǎn)評估研究范文

關(guān)鍵詞：網(wǎng)絡(luò)安全；風(fēng)險(xiǎn)評估；實(shí)施流程

中圖文分類號：TP393.08文獻(xiàn)標(biāo)識碼：A文章編號：1009-3044(2008)29-0366-02

Research on Network Security Risk Assessment Appraisal Flow

XING Zhi-jun

(Railway Wagon Transport Branch Co. of China Shenhua Energy, Yulin 719316, China)

Abstract： Along with the network information age development, the Internet becomes people’s work gradually and lives the essential constituent, but also let the people face the multitudinous secret network threat at the same time. In the network security problem is not allow to neglect. This paper introduced the network security risk assessment appraisal flow in detail.

Key words： network security;risk assessment;appraisal flow

1 引言

網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估就是通過對計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全狀況進(jìn)行安全性分析，及時發(fā)現(xiàn)并指出存在的安全漏洞，以保證系統(tǒng)的安全。網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估在網(wǎng)絡(luò)安全技術(shù)中具有重要的地位，其基本原理是采用多種方法對網(wǎng)絡(luò)系統(tǒng)可能存在的已知安全漏洞進(jìn)行檢測，找出可能被黑客利用的安全隱患，并根據(jù)檢測結(jié)果向系統(tǒng)管理員提供詳細(xì)可靠的安全分析報(bào)告與漏洞修補(bǔ)建議，以便及早采取措施，保護(hù)系統(tǒng)信息資源。

風(fēng)險(xiǎn)評估過程就是在評估標(biāo)準(zhǔn)的指導(dǎo)下，綜合利用相關(guān)評估技術(shù)、評估方法、評估工具，針對信息系統(tǒng)展開全方位的評估工作的完整歷程。對信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評估，首先應(yīng)確保風(fēng)險(xiǎn)分析的內(nèi)容與范圍應(yīng)該覆蓋信息系統(tǒng)的整個體系，應(yīng)包括：系統(tǒng)基本情況分析、信息系統(tǒng)基本安全狀況調(diào)查、信息系統(tǒng)安全組織、政策情況分析、信息系統(tǒng)弱點(diǎn)漏洞分析等。

2 風(fēng)險(xiǎn)評估的準(zhǔn)備

風(fēng)險(xiǎn)評估的準(zhǔn)備過程是組織進(jìn)行風(fēng)險(xiǎn)評估的基礎(chǔ)，是整個風(fēng)險(xiǎn)評估過程有效性的保證。機(jī)構(gòu)對自身信息及信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評估是一種戰(zhàn)略性的考慮，其結(jié)果將受到機(jī)構(gòu)的業(yè)務(wù)需求及戰(zhàn)略目標(biāo)、文化、業(yè)務(wù)流程、安全要求、規(guī)模和結(jié)構(gòu)的影響。不同機(jī)構(gòu)對于風(fēng)險(xiǎn)評估的實(shí)施過程可能存在不同的要求，因此在風(fēng)險(xiǎn)評估的準(zhǔn)備階段，應(yīng)該完成以下工作。

1） 確定風(fēng)險(xiǎn)評估的目標(biāo)

首先應(yīng)該明確風(fēng)險(xiǎn)評估的目標(biāo)，為風(fēng)險(xiǎn)評估的過程提供導(dǎo)向。支持機(jī)構(gòu)的信息、系統(tǒng)、應(yīng)用軟件和網(wǎng)絡(luò)是機(jī)構(gòu)重要的資產(chǎn)。資產(chǎn)的機(jī)密性、完整信和可用性對于維持競爭優(yōu)勢、獲利能力、法規(guī)要求和一個機(jī)構(gòu)的形象是必要的。機(jī)構(gòu)要面對來自四面八方日益增長的安全威脅。一個機(jī)構(gòu)的系統(tǒng)、應(yīng)用軟件和網(wǎng)絡(luò)可能是嚴(yán)重威脅的目標(biāo)。同時，由于機(jī)構(gòu)的信息化程度不斷提高，對基于信息系統(tǒng)和服務(wù)技術(shù)的依賴日益增加，一個機(jī)構(gòu)則可能出現(xiàn)更多的脆弱性。機(jī)構(gòu)的風(fēng)險(xiǎn)評估的目標(biāo)基本上來源于機(jī)構(gòu)業(yè)務(wù)持續(xù)發(fā)展的需要、滿足相關(guān)方的要求、滿足法律法規(guī)的要求等方面。

2） 確定風(fēng)險(xiǎn)評估的范圍

機(jī)構(gòu)進(jìn)行風(fēng)險(xiǎn)評估可能是由于自身業(yè)務(wù)要求及戰(zhàn)略目標(biāo)的要求、相關(guān)方的要求或者其他原因。因此應(yīng)根據(jù)上述具體原因確定分險(xiǎn)評估范圍。范圍可能是機(jī)構(gòu)全部的信息和信息系統(tǒng)，可能是單獨(dú)的信息系統(tǒng)，可能是機(jī)構(gòu)的關(guān)鍵業(yè)務(wù)流程，也可能是客戶的知識產(chǎn)權(quán)。

3） 建立適當(dāng)?shù)慕M織結(jié)構(gòu)

在風(fēng)險(xiǎn)評估過程中，機(jī)構(gòu)應(yīng)建立適當(dāng)?shù)慕M織結(jié)構(gòu)，以支持整個過程的推進(jìn)，如成立由管理層、相關(guān)業(yè)務(wù)骨干、IT技術(shù)人員等組成的風(fēng)險(xiǎn)評估小組。組織結(jié)構(gòu)的建立應(yīng)考慮其結(jié)構(gòu)和復(fù)雜程度，以保證能夠滿足風(fēng)險(xiǎn)評估的目標(biāo)、范圍。

4） 建立系統(tǒng)型的風(fēng)險(xiǎn)評估方法

風(fēng)險(xiǎn)評估方法應(yīng)考慮評估的范圍、目的、時間、效果、機(jī)構(gòu)文化、人員素質(zhì)以及具體開展的程度等因素來確定，使之能夠與機(jī)構(gòu)的環(huán)境和安全要求相適應(yīng)。

5） 獲得最高管理者對風(fēng)險(xiǎn)評估策劃的批準(zhǔn)

上述所有內(nèi)容應(yīng)得到機(jī)構(gòu)的最高管理者的批準(zhǔn)，并對管理層和員工進(jìn)行傳達(dá)。由于風(fēng)險(xiǎn)評估活動涉及單位的不同領(lǐng)域和人員，需要多方面的協(xié)調(diào)，必要的、充分的準(zhǔn)備是風(fēng)險(xiǎn)評估成功的關(guān)鍵。因此，評估前期準(zhǔn)備工作中還應(yīng)簽訂合同和機(jī)密協(xié)議以及選擇評估模式。

3 信息資產(chǎn)識別

資產(chǎn)是企業(yè)、機(jī)構(gòu)直接賦予了價(jià)值因而需要保護(hù)的東西，它可能是以多種形式存在的，無形的、有形的，硬件、軟件，文檔、代碼，或者服務(wù)、企業(yè)形象等。在一般的評估體中，資產(chǎn)大多屬于不同的信息系統(tǒng)，如OA系統(tǒng)、網(wǎng)管系統(tǒng)、業(yè)務(wù)生產(chǎn)系統(tǒng)等，而且對于提供多種業(yè)務(wù)的機(jī)構(gòu)，業(yè)務(wù)生產(chǎn)系統(tǒng)的數(shù)量還可能會很多。

資產(chǎn)賦值是對資產(chǎn)安全價(jià)值的估價(jià)，不是以資產(chǎn)的帳面價(jià)格來衡量的。在對資產(chǎn)進(jìn)行估價(jià)時，不僅要考慮資產(chǎn)的成本價(jià)格，更重要的是要考慮資產(chǎn)對于機(jī)構(gòu)業(yè)務(wù)的安全重要性，即由資產(chǎn)損失所引發(fā)的潛在的影響來決定。為確保資產(chǎn)估價(jià)時的一致性和準(zhǔn)確定，機(jī)構(gòu)應(yīng)按照上述原則，建立一個資產(chǎn)價(jià)值尺度（資產(chǎn)評估標(biāo)準(zhǔn)），以明確如何對資產(chǎn)進(jìn)行賦值。資產(chǎn)賦值包括機(jī)密性賦值、完整性賦值和可用性賦值。

4 威脅識別

安全威脅是一種對機(jī)構(gòu)及其資產(chǎn)構(gòu)成潛在破壞的可能性因素或者時間。無論對于多么安全的信息系統(tǒng)，安全威脅是一個客觀存在的事物，它是風(fēng)險(xiǎn)評估的重要因素之一。

5 脆弱性識別

脆弱性評估也稱為弱點(diǎn)評估，是風(fēng)險(xiǎn)評估中的重要內(nèi)容。弱點(diǎn)是資產(chǎn)本身存在的，它可以被威脅利用、引起資產(chǎn)或商業(yè)目標(biāo)的損害。弱點(diǎn)包括物理環(huán)境、機(jī)構(gòu)、過程、人員、管理、配置、硬件、軟件和信息等各種資產(chǎn)的脆弱性。

6 已有安全措施的確認(rèn)

機(jī)構(gòu)應(yīng)對已采取的控制措施進(jìn)行識別并對控制措施的有效性進(jìn)行確認(rèn)，將有效的安全控制措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止控制措施的重復(fù)實(shí)施。對于那些被認(rèn)為不適當(dāng)?shù)目刂茟?yīng)核查是否應(yīng)被取消，或者用更合適的控制代替。安全控制可以分為預(yù)防性控制措施和保護(hù)性控制措施兩種。預(yù)防性控制措施可以降低威脅發(fā)生的可能性和減少安全脆弱性；而保護(hù)性控制措施可以減少因威脅發(fā)生所造成的影響。

7 風(fēng)險(xiǎn)識別

根據(jù)策劃的機(jī)構(gòu)，由評估的人員按照相應(yīng)的職責(zé)和程序進(jìn)行資產(chǎn)評估、威脅評估、脆弱性評估，在考慮已有安全措施的情況下，利用適當(dāng)?shù)姆椒ㄅc工具確定威脅利用資產(chǎn)脆弱性發(fā)生安全事件的可能性，并結(jié)合資產(chǎn)的安全屬性受到破壞后的影響來得出資產(chǎn)的安全風(fēng)險(xiǎn)。

8 風(fēng)險(xiǎn)評估結(jié)果記錄

根據(jù)評估實(shí)施情況和所搜集到的信息，如資產(chǎn)評估數(shù)據(jù)、威脅評估數(shù)據(jù)、脆弱性評估數(shù)據(jù)等，完成評估報(bào)告撰寫。評估報(bào)告是風(fēng)險(xiǎn)評估結(jié)果的記錄文件，是機(jī)構(gòu)實(shí)施風(fēng)險(xiǎn)管理的主要依據(jù)，是對風(fēng)險(xiǎn)評估活動進(jìn)行評審和認(rèn)可的基礎(chǔ)資料，因此，報(bào)告必須做到有據(jù)可查，報(bào)告內(nèi)容一般主要包括風(fēng)險(xiǎn)評估范圍、風(fēng)險(xiǎn)計(jì)算方法、安全問題歸納以及描述、風(fēng)險(xiǎn)級數(shù)、安全建議等。風(fēng)險(xiǎn)評估報(bào)告還可以包括風(fēng)險(xiǎn)控制措施建議、參與風(fēng)險(xiǎn)描述等。

由于信息系統(tǒng)及其所在環(huán)境的不斷變化，在信息系統(tǒng)的運(yùn)行過程中，絕對安全的措施是不存在的。攻擊者不斷有新的方法繞過或擾亂系統(tǒng)中的安全措施，系統(tǒng)的變化會帶來新的脆弱點(diǎn)，實(shí)施的安全措施會隨著時間而過時等等，所有這些表明，信息系統(tǒng)的風(fēng)險(xiǎn)評估過程是一個動態(tài)循環(huán)的過程，應(yīng)周期性的對信息系統(tǒng)安全進(jìn)行重新評估。

參考文獻(xiàn)：

[1] Solomon D A, Russinovich M E. Inside Microsoft Windows 2000[M]. Microsoft Press, 2000.

第5篇：風(fēng)險(xiǎn)評估研究范文

關(guān)鍵詞：建筑火災(zāi) 風(fēng)險(xiǎn)評估 模糊綜合評價(jià) 性能化評估

引言

火災(zāi)是當(dāng)今世界上發(fā)生頻率最大、損害較嚴(yán)重的一種災(zāi)害。隨著建筑物向高層、超高層發(fā)展，人口密度的增加，火災(zāi)帶來的危害是也越來越大，經(jīng)濟(jì)損失越來越多。對于大空間建筑不能用傳統(tǒng)的方法進(jìn)行防火設(shè)計(jì)，但必須滿足防火要求就采用性能化的設(shè)計(jì)方法，而性能化設(shè)計(jì)沒有檢驗(yàn)的標(biāo)準(zhǔn)，可以對建筑進(jìn)行火災(zāi)風(fēng)險(xiǎn)評估來檢驗(yàn)性能化設(shè)計(jì)的防火安全性。

1 火災(zāi)風(fēng)險(xiǎn)的概念

建筑物都有發(fā)生火災(zāi)或者爆炸的危險(xiǎn)，但是火災(zāi)的發(fā)生概率和后果的大小有著很大不同，為了更有效的做好建筑防滅火工作，就必須對建筑的火災(zāi)風(fēng)險(xiǎn)有充分的認(rèn)識?；馂?zāi)風(fēng)險(xiǎn)評估是在系統(tǒng)防滅火安全分析的基礎(chǔ)上，對系統(tǒng)的火災(zāi)風(fēng)險(xiǎn)進(jìn)行評價(jià)，評價(jià)結(jié)果可以通過評分、評等級值、評指數(shù)值以及火災(zāi)爆炸發(fā)生概率等方法來表示，進(jìn)而對建筑的火災(zāi)風(fēng)險(xiǎn)進(jìn)行衡量[1]。建筑的火災(zāi)風(fēng)險(xiǎn)是火災(zāi)發(fā)生的可能性與火災(zāi)發(fā)生后而產(chǎn)生的預(yù)期災(zāi)害程度的總體反應(yīng)。

2 火災(zāi)風(fēng)險(xiǎn)評估的目的和意義

火災(zāi)風(fēng)險(xiǎn)評估的目的是根據(jù)評估的結(jié)果對建筑及其消防施進(jìn)行調(diào)整，加強(qiáng)薄弱環(huán)節(jié)，消除火災(zāi)隱患、降低事故發(fā)生概率和火災(zāi)危險(xiǎn)程度，使系統(tǒng)在滿足經(jīng)濟(jì)效益和社會效益的前提下，達(dá)到最佳的消防安全狀態(tài)[2]。火災(zāi)的風(fēng)險(xiǎn)評估可以更加可觀、更加準(zhǔn)確的認(rèn)識火災(zāi)風(fēng)險(xiǎn)，從而為人們預(yù)防火災(zāi)、控制火災(zāi)和撲滅火災(zāi)提供技術(shù)和支持。由于火和人們的生活息息相關(guān)，所以火災(zāi)風(fēng)險(xiǎn)評估有著很強(qiáng)的應(yīng)用背景，主要有以下幾個方面[3][4]：

2.1 為建筑物的性能化防火設(shè)計(jì)提供依據(jù)?，F(xiàn)行的建筑防火設(shè)計(jì)規(guī)范無法解決大型、超大型建筑的消防設(shè)計(jì)，所以只能借能化防火設(shè)計(jì)降低火災(zāi)風(fēng)險(xiǎn)，而合理的建筑性能化防火設(shè)計(jì)又離不開科學(xué)的火災(zāi)風(fēng)險(xiǎn)評估方法。合理的火災(zāi)風(fēng)險(xiǎn)評估能過幫助人們認(rèn)識火災(zāi)的危險(xiǎn)程度以及可能造成損失狀況，從而對防火對策產(chǎn)生科學(xué)的指導(dǎo)。

2.2 為保險(xiǎn)行業(yè)制定科學(xué)的保險(xiǎn)費(fèi)率提供依據(jù)。保險(xiǎn)費(fèi)率的確定必須建立在科學(xué)、合理的風(fēng)險(xiǎn)評估的基礎(chǔ)上，火災(zāi)事故的發(fā)生受到可燃物、環(huán)境、防滅設(shè)備等諸多因素的影響。作為風(fēng)險(xiǎn)的一種，火災(zāi)風(fēng)險(xiǎn)評估就顯得更加有意義。

2.3 為性能化設(shè)計(jì)規(guī)范和相關(guān)法規(guī)制度的制定作準(zhǔn)備。開展性能化防火設(shè)計(jì)并制定相應(yīng)的防火設(shè)計(jì)規(guī)范是必然的趨勢。隨著我國火災(zāi)科學(xué)與消防工程學(xué)科的不斷發(fā)展，隨之大量實(shí)際工程經(jīng)驗(yàn)的積累，火災(zāi)的評估方法和性能化設(shè)計(jì)的水平會有很大的提高，這對性能化設(shè)計(jì)規(guī)范的制定打下了堅(jiān)實(shí)的基礎(chǔ)。同時，我國法律制度的完善，也會出現(xiàn)一些安全法規(guī)制度，自然也離不開大量火災(zāi)風(fēng)險(xiǎn)評估的結(jié)果和經(jīng)驗(yàn)。

3 建筑火災(zāi)風(fēng)險(xiǎn)評估

目前建筑火災(zāi)風(fēng)險(xiǎn)評估方法多采用模糊綜合評判法和性能化評估方法。模糊綜合評判法是應(yīng)用模糊分析的方法來處理和分析建筑的火災(zāi)風(fēng)險(xiǎn)，對影響火災(zāi)風(fēng)險(xiǎn)的因素通過模糊運(yùn)算用隸屬度的方式確定建筑的危險(xiǎn)等級。性能化評估方法是對建筑的火災(zāi)風(fēng)險(xiǎn)性和危害性進(jìn)行定量的評估，確定現(xiàn)有建筑物的防火安全性是否達(dá)到了性能要求的安全水平。但是前人的研究中很少考慮建筑物內(nèi)部各個區(qū)域的火災(zāi)危險(xiǎn)性對整個建筑火災(zāi)危險(xiǎn)性的影響。以系統(tǒng)原理為基礎(chǔ)，把建筑物作為由若干相對獨(dú)立的空間區(qū)域組成的系統(tǒng)，提出通過對各個區(qū)域的火災(zāi)風(fēng)險(xiǎn)評估來確定整個建筑物的火災(zāi)風(fēng)險(xiǎn)。這種評估方法便于找出建筑物內(nèi)相對火災(zāi)風(fēng)險(xiǎn)較大的區(qū)域，通過控制這些區(qū)域的火災(zāi)風(fēng)險(xiǎn)，來降低整個建筑的火災(zāi)風(fēng)險(xiǎn)。

3.1 評估區(qū)域的確定

建筑物是由多個功能各異的空間結(jié)構(gòu)組成的系統(tǒng)，依據(jù)使用功能劃分為房間、大廳、樓梯等。為了便于火災(zāi)控制，人們又把建筑空間劃分為若干防火分區(qū)。雖然劃分的目的不同，但是劃分的原理是相同的，即采用建筑構(gòu)件或防火分割物把建筑內(nèi)的一個空間區(qū)域獨(dú)立出來，從而可以把一個建筑看作由這些獨(dú)立的空間區(qū)域組合起來的整體。建筑物內(nèi)各個空間區(qū)域的火災(zāi)風(fēng)險(xiǎn)直接影響整個建筑的火災(zāi)風(fēng)險(xiǎn)，所以整個建筑的火災(zāi)風(fēng)險(xiǎn)可以通過評估各個空間區(qū)域的火災(zāi)風(fēng)險(xiǎn)來確定。這里稱這些空間區(qū)域?yàn)榻ㄖ馂?zāi)的評估區(qū)域[5] [6] [7]。評估區(qū)域具有以下特點(diǎn)：空間的相對獨(dú)立性，人員密度和財(cái)產(chǎn)密度的相對穩(wěn)定性，火災(zāi)控制的相對獨(dú)立性等。

評估區(qū)域的劃分可以根據(jù)建筑物的特點(diǎn)、功能分區(qū)、防火分區(qū)或其他因素，但是必須遵循如下原則。1、獨(dú)立性原則：評估區(qū)域要求空間的相對獨(dú)立性，人員密度和財(cái)產(chǎn)密度的相對穩(wěn)定性，火災(zāi)控制的相對獨(dú)立性等。2、完整性原則：保證建筑物的完整性，所有評估區(qū)域的組合構(gòu)成一個完整的建筑物。

3.2 評估區(qū)域的固有火災(zāi)風(fēng)險(xiǎn)評估

評估區(qū)域的火災(zāi)危險(xiǎn)性影響因素主要考慮以下幾方面：火災(zāi)發(fā)生的可能性，初期火的滅火措施，區(qū)域?qū)馂?zāi)向區(qū)域外蔓延的控制措施，火災(zāi)煙氣的毒性和蔓延途徑，區(qū)域內(nèi)人員疏散到區(qū)域外的情況，區(qū)域內(nèi)的通風(fēng)情況等。利用層次分析法（AHP），根據(jù)專家的判定應(yīng)用層次分析法計(jì)算權(quán)重的主要步驟有：構(gòu)造算權(quán)重值；判斷矩陣相容性檢驗(yàn)。

3.2.1 評估區(qū)域固有火災(zāi)風(fēng)險(xiǎn)的模糊綜合評價(jià)[8]

（1）評價(jià)集的建立

（2）單因素模糊評判

（3）通過各單因素模糊評價(jià)建立評價(jià)矩陣

（4） 求綜合評價(jià)矩陣

（5）求總評價(jià)矩陣

（6）求系統(tǒng)評價(jià)矩陣

（7）求綜合分值

3.2.2 整個建筑物的火災(zāi)風(fēng)險(xiǎn)評估

從系統(tǒng)角度看，整個建筑是由所有評估區(qū)域組成的一個系統(tǒng)[9]，所以，它的火災(zāi)風(fēng)險(xiǎn)可以經(jīng)過各個評估區(qū)域的火災(zāi)風(fēng)險(xiǎn)綜合得到。由于在計(jì)算各個評估區(qū)域的火災(zāi)風(fēng)險(xiǎn)時考慮了相鄰區(qū)域的影響，所以，在計(jì)算整個建筑物的火災(zāi)風(fēng)險(xiǎn)時，忽略了評估區(qū)域之間的相互作用。

4 結(jié)論

以系統(tǒng)原理為基礎(chǔ)，把大空間建筑物作為由若干相對獨(dú)立的空間區(qū)域組成的系統(tǒng)，提出通過對各個區(qū)域的火災(zāi)風(fēng)險(xiǎn)評估來確定整個建筑物的火災(zāi)風(fēng)險(xiǎn)。這種評估方法便于找出建筑物內(nèi)相對火災(zāi)風(fēng)險(xiǎn)較大的區(qū)域，通過控制這些區(qū)域的火災(zāi)風(fēng)險(xiǎn)，來降低整個建筑的火災(zāi)風(fēng)險(xiǎn)。結(jié)合建筑性能化設(shè)計(jì)，檢查是否達(dá)到最安全的性能指標(biāo)。性能化設(shè)計(jì)的大空間火災(zāi)危險(xiǎn)性評估對消防管理工作和火災(zāi)的早期控制都有積極意義。

參考文獻(xiàn)：

[1]范維澄，孫金華，陸守香.《火災(zāi)風(fēng)險(xiǎn)評估方法學(xué)》[M].北京科學(xué)出版社，2004

[2]李引擎.《建筑防火性能化設(shè)計(jì)》[M].化學(xué)工業(yè)出版社，2005

[3]劉鐵民，張興凱，劉功智.《安全評價(jià)方法應(yīng)用指南》[M].化學(xué)工業(yè)出版社，2005

[4]郭鐵男.《中國消防手冊》[M].上海科學(xué)技術(shù)出版社，2006，12，P772

[5]顧偉芳，田原，田宏.建筑火災(zāi)風(fēng)險(xiǎn)評估研究[J].工業(yè)安全與環(huán)保，2010，9

[6]李志憲，等.建筑火災(zāi)風(fēng)險(xiǎn)評價(jià)技術(shù)初探[J].中國安全科學(xué)學(xué)報(bào)，2002，12 （2）

[7]田玉敏.高層建筑火災(zāi)風(fēng)險(xiǎn)的概率模糊綜合評價(jià)方法[J].中國安全科學(xué)學(xué)報(bào)， 2004，14（9）

[8]常春.建筑火災(zāi)風(fēng)險(xiǎn)評估模型研究[J].北京交通大學(xué)專業(yè)碩士學(xué)位論文，2010，6.

第6篇：風(fēng)險(xiǎn)評估研究范文

【 關(guān)鍵詞 】 信息安全；等級保護(hù)；風(fēng)險(xiǎn)評估；層次分析法

Level Protection Risk Assessment Model for Research

Zhao Yun

（The Third Research Institute of Ministry of Public Security Shanghai 200031）

【 Abstract 】 This article in view of the information system risk assessment are susceptible to the influence of subjective factors， some problems such as vagueness and uncertainty， a new risk assessment model is put forward. By establishing hierarchical evaluation system based on the level of protection， and using the evaluation method based on analytic hierarchy process （AHP） that exist in the process evaluation fuzzy value， finally quantitative evaluation results. The empirical results show that the model can reduce the fuzziness and uncertainty in risk assessment can better solve practical difficulties and problems of information system risk assessment .

【 Keywords 】 information security；grade protection；risk evaluation；analytic hierarchy process

1 引言

隨著計(jì)算機(jī)網(wǎng)絡(luò)的廣泛使用和網(wǎng)絡(luò)中承載的信息量的加速增長，系統(tǒng)安全重要性正在世界范圍內(nèi)不斷地?cái)U(kuò)大。近些年來，我國改革開放和信息化建設(shè)步伐不斷加快，各行業(yè)都建立了自己的信息系統(tǒng)以支持相關(guān)業(yè)務(wù)的開展，這些系統(tǒng)的運(yùn)行狀況在各個層面不同程度地影響著企業(yè)或行業(yè)乃至整個社會的發(fā)展。因此，對于信息系統(tǒng)的等級保護(hù)工作也變得越發(fā)重要。信息安全等級保護(hù)是指對國家安全、法人和其它組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實(shí)行安全保護(hù)，對信息系統(tǒng)中使用信息安全產(chǎn)品實(shí)行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置等，在系統(tǒng)的建設(shè)過程中，我們總是關(guān)心系統(tǒng)所面臨的安全風(fēng)險(xiǎn)，基于上述原因，如何評價(jià)一個信息系統(tǒng)項(xiàng)目就成了非常重要的課題。目前的評價(jià)方法，國內(nèi)不是很成熟。本文通過對信息系統(tǒng)評估方法的理論研究，對已有的評價(jià)方法進(jìn)行了改進(jìn)，最終得到一個優(yōu)化的指標(biāo)體系。

2 發(fā)展歷程

由于計(jì)算機(jī)信息網(wǎng)絡(luò)安全的脆弱性和現(xiàn)實(shí)網(wǎng)絡(luò)環(huán)境的復(fù)雜性，時刻給信息系統(tǒng)的正常運(yùn)行帶來威脅，為此國家公安部、保密局、國家密碼管理局、國務(wù)院信息化領(lǐng)導(dǎo)小組于2007年聯(lián)合頒布了861號文件《關(guān)于開展全國重要信息系統(tǒng)安全等級保護(hù)定級工作的通知》和《信息安全等級保護(hù)管理辦法》。根據(jù)文件精神和等級劃分的原則，重要信息系統(tǒng)構(gòu)筑需要達(dá)到三級或以上防護(hù)要求，以等級保護(hù)三級系統(tǒng)為例，其防護(hù)要求分類如圖1所示。

從圖1可以看出，目前等級保護(hù)風(fēng)險(xiǎn)評估主要分為技術(shù)要求和管理要求兩大部分，技術(shù)要求從物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全五個方面來評價(jià)；管理要求從安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理五個角度進(jìn)行分析。通過對目前多個測評機(jī)構(gòu)測評方法的分析研究，發(fā)現(xiàn)傳統(tǒng)的風(fēng)險(xiǎn)評估方法比較簡單，各項(xiàng)指標(biāo)和分項(xiàng)指標(biāo)的實(shí)際情況僅由符合、部分符合和不符合三種評價(jià)結(jié)果構(gòu)成。這種評價(jià)方法無法區(qū)分各個測評項(xiàng)對整個信息系統(tǒng)影響的重要程度，另外，對整個信息系統(tǒng)的風(fēng)險(xiǎn)評估也僅僅由簡單的統(tǒng)計(jì)不符合率來體現(xiàn)，無法客觀有效地反應(yīng)系統(tǒng)的真實(shí)情況。

3 信息系統(tǒng)風(fēng)險(xiǎn)評估

信息安全風(fēng)險(xiǎn)評估規(guī)范中明確了信息系統(tǒng)風(fēng)險(xiǎn)評估的基本工作形式是自評估與檢查評估。信息系統(tǒng)風(fēng)險(xiǎn)評估是信息系統(tǒng)安全工程的重要組成部分，是建立信息系統(tǒng)安全體系的基礎(chǔ)和前提。根據(jù)國家有關(guān)管理規(guī)定，基礎(chǔ)性、重要的信息系統(tǒng)采用等級保護(hù)標(biāo)準(zhǔn)進(jìn)行建設(shè)和測評。信息系統(tǒng)使用單位應(yīng)該結(jié)合自身單位信息系統(tǒng)的具體情況，依照國家標(biāo)準(zhǔn)，開展風(fēng)險(xiǎn)評估工作。目前，信息系統(tǒng)的復(fù)雜性和多樣性給風(fēng)險(xiǎn)評估帶來了很大困難，評估工作多是由測評單位的測評人員根據(jù)定性的評價(jià)指標(biāo)進(jìn)行評估，在結(jié)果的判定上很難量化。因此，最終的評估結(jié)果易受主觀因素的影響，每個人對結(jié)果的評價(jià)可能不完全一樣；具有模糊性和不確定性。

信息系統(tǒng)風(fēng)險(xiǎn)評估以信息系統(tǒng)的各個方面為對象，建立在對信息系統(tǒng)進(jìn)行評價(jià)的基礎(chǔ)上，目前國內(nèi)外在風(fēng)險(xiǎn)分析領(lǐng)域常用的三種方法：參數(shù)統(tǒng)計(jì)方法、非參數(shù)統(tǒng)計(jì)方法和神經(jīng)網(wǎng)絡(luò)方法。應(yīng)用于信息系統(tǒng)風(fēng)險(xiǎn)評估模型中的常用統(tǒng)計(jì)模型包括基于判別分析的信用評價(jià)模型、Bayes風(fēng)險(xiǎn)分析的信用評價(jià)模型、Logistic回歸模型的信用評價(jià)模型、模糊聚類方法的信用評價(jià)模型和神經(jīng)網(wǎng)絡(luò)（如徑向基函數(shù)網(wǎng)絡(luò)、概率神經(jīng)網(wǎng)絡(luò)、自組織神經(jīng)網(wǎng)絡(luò)等）的信用評價(jià)模型[2]，F(xiàn)u等運(yùn)用層次分析法（AHP）和模糊綜合評價(jià)法（FCE），建立風(fēng)險(xiǎn)評估的量化模式[3]；Huang等以灰色評估模型為基礎(chǔ)，在權(quán)重的選擇過程中引入模糊層次分析法，弱化了評價(jià)的主觀性[4]；Gao等人應(yīng)用灰色關(guān)聯(lián)決策算法，給出了評估值缺失的先驗(yàn)估計(jì)，能夠有效地處理參數(shù)評估值的不確定性問題[5]。

信息系統(tǒng)評價(jià)指標(biāo)體系的構(gòu)建對信息系統(tǒng)安全指數(shù)進(jìn)行客觀合理的測度，其基礎(chǔ)是建立一個客觀科學(xué)的指標(biāo)體系。本文通過對信息系統(tǒng)等級保護(hù)測評過程客觀科學(xué)的分析以及查閱文獻(xiàn)，構(gòu)建出信息系統(tǒng)安全指數(shù)體系，如表1所示。

等級保護(hù)風(fēng)險(xiǎn)評估模型建立在等級保護(hù)體系的基礎(chǔ)上，運(yùn)用綜合評價(jià)法，建立評價(jià)模型，建立如下的評價(jià)參數(shù)：

假設(shè)風(fēng)險(xiǎn)評估目標(biāo)指數(shù)為U，U的取值和U1技術(shù)要求和U2管理要求相關(guān)：

U={U1 ，U2}={技術(shù)要求，管理要求}

進(jìn)一步分析后，得到以下關(guān)系：

U1={U11，U12，U13，U14，U15}={物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全}

U2={U21，U22，U23，U24，U25}={安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理}

將U11至U22進(jìn)一步拆解后，得到以下關(guān)系：

U11={U111，U112，U113，U114，U115，U116，U117，U118，U119，U1110}={物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護(hù)}

U12={U121，U122，U123，U124，U125，U126，U127}={結(jié)構(gòu)安全、訪問控制、安全審計(jì)、邊界完整性檢查、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護(hù)}

U13={ U131，U132，U133，U134，U135，U136 }={身份鑒別、訪問控制、安全審計(jì)、入侵防范、惡意代碼防范、資源控制}

……

由于三級指標(biāo)的數(shù)目過多，在本文中就不一一列舉了，可以參照相關(guān)材料完成上述關(guān)系式。

4 等級保護(hù)風(fēng)險(xiǎn)評估模型

層次分析法（The Analytic Hierarchy Process）簡稱AHP，20世紀(jì)70年代中期由美國運(yùn)籌學(xué)家托馬斯·塞蒂（T.L.Saaty）正式提出。它是一種定性和定量相結(jié)合的、系統(tǒng)化、層次化的分析方法。層次分析法將決策問題按總目標(biāo)、各層子目標(biāo)、評價(jià)準(zhǔn)則直至具體的備選方案的順序分解為不同的層次結(jié)構(gòu)，然后用求解判斷矩陣特征向量的辦法，求得每一層次的各元素對上一層次某元素的優(yōu)先權(quán)重，最后再用加權(quán)和的方法遞階歸并各備選方案對總目標(biāo)的最終權(quán)重，此最終權(quán)重最大者即為最優(yōu)方案。層次分析法比較適合于具有分層交錯評價(jià)指標(biāo)的目標(biāo)系統(tǒng)且目標(biāo)值又難于定量描述的決策問題。其用法是構(gòu)造判斷矩陣，求出最大特征值及其所對應(yīng)的特征向量w，歸一化后，即為某一層次指標(biāo)對于上一層次相關(guān)指標(biāo)的相對重要性權(quán)值。

運(yùn)用層次分析法建模，按四個步驟進(jìn)行。

1）建立遞階層次結(jié)構(gòu)模型。應(yīng)用AHP分析決策問題時，首先要把問題條理化、層次化，構(gòu)造出一個有層次的結(jié)構(gòu)模型。在這個模型下，復(fù)雜問題被分解為元素的組成部分。這些元素又按其屬性及關(guān)系形成若干層次。上一層次的元素作為準(zhǔn)則對下一層次有關(guān)元素起支配作用。

2）構(gòu)造出各層次中的所有判斷矩陣。層次結(jié)構(gòu)反映了因素之間的關(guān)系，但準(zhǔn)則層中的各準(zhǔn)則在目標(biāo)衡量中所占的比重并不一定相同，在決策者的心目中，它們各占有一定的比例。在確定影響某些因素的諸因子在該因素中所占的比重時，遇到的主要困難是這些比重常常不易定量化。此外，當(dāng)影響某些因素的因子較多時，直接考慮各因子對該因素有多大程度的影響時，常常會因考慮不周全、顧此失彼而使決策者提出與其實(shí)際重要性程度不相一致的數(shù)據(jù)，甚至有可能提出一組隱含矛盾的數(shù)據(jù)。層次分析法通過各指標(biāo)相對于上級指標(biāo)重要性的兩兩比較，構(gòu)造判斷矩陣，可以有效避免上述問題。

3）指標(biāo)體系建立及權(quán)重計(jì)算

在對信息系統(tǒng)建設(shè)及使用效果進(jìn)行評估時，底層相對于上一層指標(biāo)可能有很多個。此時運(yùn)用層次分析法對底層指標(biāo)構(gòu)建的判斷矩陣會比較復(fù)雜，很難滿足一致性。所以，本文對一般的信息系統(tǒng)構(gòu)建了一個三層的指標(biāo)體系。其中一級指標(biāo)2個，二級指標(biāo)10個，三級指標(biāo)74個。在進(jìn)行權(quán)重計(jì)算時，考慮到三級指標(biāo)數(shù)量過多，如果逐一的討論其權(quán)重指標(biāo)會顯得比較繁瑣，并且其相互之間重要關(guān)系不易比較，故只計(jì)算一、二級指標(biāo)在整個指標(biāo)體系中的權(quán)重，三級指標(biāo)權(quán)重取他們對二級指標(biāo)的平均值。也正是因?yàn)槿壷笜?biāo)數(shù)量繁多，并且其重要性可通過二級指標(biāo)的權(quán)重所體現(xiàn)，所以并不會對評估結(jié)果有較大的影響。

對信息系統(tǒng)權(quán)重評分，主要通過三類人員評分，包括信息系統(tǒng)使用人員、測評人員及專家，接下來分析權(quán)重確定方法及過程，本文采用發(fā)放調(diào)查表的方式，通過三種人員對信息系統(tǒng)的指標(biāo)權(quán)重進(jìn)行分項(xiàng)打分，然后進(jìn)行分類匯總計(jì)算權(quán)重，具體的辦法如下：

信息系統(tǒng)使用人員評分步驟如下：首先制作調(diào)查表。信息系統(tǒng)使用人員評分主要通過發(fā)放調(diào)查表的方式。調(diào)查表的內(nèi)容應(yīng)該包括指標(biāo)體系中所有的三級指標(biāo)。接下來填報(bào)調(diào)查表。為了保證信息收集的全面客觀性，應(yīng)由系統(tǒng)的多類用戶填寫，例如業(yè)務(wù)人員、系統(tǒng)管理人員、部門領(lǐng)導(dǎo)等。并且每一類人員也應(yīng)當(dāng)由多人填寫多份，這樣才可保證搜集的信息全面而真實(shí)。然后確定三級指標(biāo)權(quán)重得分。通過調(diào)查表的填寫及調(diào)查表中每個選項(xiàng)對應(yīng)的分值，可以得到信息系統(tǒng)使用人員、測評人員及專家對信息系統(tǒng)每個三級指標(biāo)的權(quán)重得分。最后計(jì)算二級指標(biāo)得分。對每個二級指標(biāo)下的三級指標(biāo)得分求平均分，即得到日常使用人員對信息系統(tǒng)每個二級指標(biāo)的得分。

信息系統(tǒng)測評人員打分方式：測評人員可以從許多技術(shù)角度考慮整個信息系統(tǒng)建設(shè)及使用效果。測評人員雖然并不一定能很熟練地操作整個信息系統(tǒng)，并且對業(yè)務(wù)工作也不一定完全了解，但其可以從許多技術(shù)角度考慮整個信息系統(tǒng)建設(shè)及使用效果。所以測評人員只需對信息系統(tǒng)的三級指標(biāo)進(jìn)行直接評分。測評人員主要通過查閱原始文檔、座談、實(shí)地調(diào)研并結(jié)合自身的操作使用，對信息系統(tǒng)的三級指標(biāo)直接打分。為了使評估結(jié)果更具有代表性，本文建議由多名測評人員參與評分，最后取多名測評人員的平均分為各三級指標(biāo)的最終得分。

專家評分方式：專家往往不會過多地考慮信息系統(tǒng)具體的細(xì)節(jié)問題，而能夠宏觀考慮整個信息系統(tǒng)的建設(shè)及使用情況。所以專家只需對信息系統(tǒng)的二級指標(biāo)進(jìn)行直接評分，一方面避免了其對許多細(xì)節(jié)問題的填報(bào)困難，另一方面也可以包含指標(biāo)體系中無法體現(xiàn)的主觀因素對信息系統(tǒng)的影響。專家主要通過查閱原始文檔、座談，并結(jié)合自身的使用情況，對信息系統(tǒng)的二級指標(biāo)直接打分。為了使評估結(jié)果更具有代表性，本文建議由多名專家參與評分，最后取多名專家的平均分為各二級指標(biāo)的得分。

在得到信息系統(tǒng)使用人員、測評人員及專家對信息系統(tǒng)各指標(biāo)的權(quán)重打分之后，需要對該三類人員的評分結(jié)果進(jìn)行匯總。

首先，計(jì)算最終的三級指標(biāo)得分。由于不同的信息系統(tǒng)，系統(tǒng)使用人員、測評人員及專家三類評分人員的評分結(jié)果重要性不同，所以需要對其賦予一定權(quán)重。由于系統(tǒng)使用人員是系統(tǒng)的真實(shí)使用者，具有最直接、最真實(shí)的使用體驗(yàn)，其評價(jià)結(jié)果也最為可靠，因此，本文推薦系統(tǒng)使用人員評分權(quán)重為0.5；測評人員對系統(tǒng)的使用頻率一般沒有用戶的使用頻率高，且只關(guān)心部分功能，但由于測評人員更具有全局觀，往往能得到比較廣泛的、多方面的該系統(tǒng)的建設(shè)效果的信息，因此，本文推薦測評人員評分權(quán)重為0.15；專家是信息技術(shù)領(lǐng)域的專業(yè)人員，一般為外請，雖然不是直接使用者，但具有豐富的專業(yè)知識，因此，本文推薦專家評分權(quán)重為0.15。

接下來，計(jì)算各指標(biāo)最終權(quán)重得分=該系統(tǒng)使用人員評分×0.5+測評人員評分×0.35+專家評分×0.15。

然后，計(jì)算權(quán)重得分：該級指標(biāo)下各下一級指標(biāo)得分相加求和，再對結(jié)果進(jìn)行歸一化。

最后，計(jì)算系統(tǒng)的風(fēng)險(xiǎn)評估得分：該系統(tǒng)各級指標(biāo)得分分別與該指標(biāo)的權(quán)重相乘，再將結(jié)果相加，即得到該系統(tǒng)的風(fēng)險(xiǎn)評估得分。

為了簡化評分結(jié)果，將三級權(quán)重的評價(jià)結(jié)果值省略，僅列出一、二級權(quán)重的得分結(jié)果如表2所示。

4）權(quán)重調(diào)整

建立了風(fēng)險(xiǎn)指標(biāo)權(quán)重表后，我們通過實(shí)際的系統(tǒng)為例，驗(yàn)證以上權(quán)重的準(zhǔn)確性。我們選取8個系統(tǒng)的風(fēng)險(xiǎn)等級測評結(jié)果，使用上述的指標(biāo)權(quán)重對風(fēng)險(xiǎn)評估結(jié)果進(jìn)行驗(yàn)證，將8個系統(tǒng)按照上述測評方法分項(xiàng)計(jì)算其得分，得到8個系統(tǒng)的風(fēng)險(xiǎn)評估得分，如表3所示。

我們將以上結(jié)果與我們使用傳統(tǒng)方法對系統(tǒng)的測評結(jié)果做出比照，發(fā)現(xiàn)其中序號8系統(tǒng)的風(fēng)險(xiǎn)評估得分比實(shí)際情況有偏差，由此分析原因。對以上的權(quán)重分配進(jìn)行調(diào)整，調(diào)整后的結(jié)果如表4所示。

按照調(diào)整后的權(quán)重結(jié)果從新計(jì)算序號8系統(tǒng)的風(fēng)險(xiǎn)評估得分，發(fā)現(xiàn)與實(shí)際情況較為吻合，因此確定該指標(biāo)權(quán)重分配結(jié)果較之前的結(jié)果更加準(zhǔn)確。在具體的測評過程中，需要根據(jù)系統(tǒng)的具體情況調(diào)整以上的權(quán)重，根據(jù)具體的業(yè)務(wù)需要，對上述權(quán)重進(jìn)行多輪的討論研究，最終確定各權(quán)重取值。系統(tǒng)的測評結(jié)果會更加客觀，更能真實(shí)的反應(yīng)出系統(tǒng)的實(shí)際情況。

5）評估過程

按照以上的方法，我們總結(jié)等級保護(hù)系統(tǒng)評估過程如圖2所示。

5 結(jié)束語

本文主要提供了一套完整的信息系統(tǒng)建設(shè)及使用效果評估方法。通過運(yùn)用層次分析法構(gòu)建指標(biāo)體系及計(jì)算權(quán)重，結(jié)合日常使用人員、領(lǐng)導(dǎo)及專家三類人員評分，可以很好地對單個或者多個信息系統(tǒng)的建設(shè)及使用效果進(jìn)行評分。目前通過對3家企業(yè)的信息系統(tǒng)評估，證明采用該指標(biāo)體系和評分辦法，收到了良好的效果。不僅如此，本指標(biāo)體系和評估方法也為今后信息系統(tǒng)評估類軟件的開發(fā)提供了良好的理論基礎(chǔ)。

參考文獻(xiàn)

[1] 公安部.信息安全等級保護(hù)管理辦法（試行）.2006.

[2] 龐素琳.信用評價(jià)與股市預(yù)測模型研究及應(yīng)用：統(tǒng)計(jì)學(xué)、神經(jīng)網(wǎng)絡(luò)與支持向量機(jī)方法[M].北京：科學(xué)出版社，2O05.

[3] FU S，ZHOU H J.The information security risk assessment based on AHP and fuzzy comprehensive evaluation [c]//International Conference On Risk Management& Engineering Management.Beijing.IEEE，2008：404—409.

[4] 黃劍雄，丁建立.基于模糊分析的信息系統(tǒng)風(fēng)險(xiǎn)灰色評估模型[J].計(jì)算機(jī)工程與設(shè)計(jì)，2012，33（4）：1285—1289.

[5] 高陽，羅軍舟.基于灰色關(guān)聯(lián)決策算法的信息安全風(fēng)險(xiǎn)評估方法[J].東南大學(xué)學(xué)報(bào)（自然科學(xué)版），2009，39（2）：225—229.

[6] 劉向升，王剛.信息系統(tǒng)的風(fēng)險(xiǎn)評估方法研究[J].網(wǎng)絡(luò)安全與技術(shù)，2006（11）.

[7] KANG Hai—gui，ZHAI Geng-jun，LIU Xiang-bin.Structure fuzzy optimum design of offshore jacket platforms[C]//ISPOE一2001.Stavaiger，Nonway：[s.n.].2001：114—118.

[8] 朱繼鋒，趙英杰，楊賀，張升波.等級保護(hù)思想的演化[J].學(xué)術(shù)研究，2O11，7O-73.

基金項(xiàng)目：

由適用于重要信息系統(tǒng)的產(chǎn)品安全性檢驗(yàn)平臺項(xiàng)目（編號：C13383）支持。

作者簡介；

第7篇：風(fēng)險(xiǎn)評估研究范文

關(guān)鍵詞：電網(wǎng) 暴雨 風(fēng)險(xiǎn)評估 模型

中圖分類號：P33 文獻(xiàn)標(biāo)識碼：A 文章編號：1674-098X（2016）12（c）-0075-02

臺州有著特殊的地理位置，地處東南沿海，是自然災(zāi)害頻發(fā)的地區(qū)，歷年臺風(fēng)登陸地很多集中在此地。臺風(fēng)暴雨洪澇災(zāi)害每年都嚴(yán)重威脅著臺州電網(wǎng)的運(yùn)行安全，并造成不同程度的損害。暴雨洪澇對電網(wǎng)的影響一方面來自于風(fēng)力帶來的破壞，如面向海口處和臺風(fēng)登陸前進(jìn)方向的高山風(fēng)口處的桿塔，因受到超過設(shè)計(jì)風(fēng)速的強(qiáng)臺風(fēng)襲擊，造成倒桿、折彎，引起線路跳閘；變電站內(nèi)主變壓器引下線受臺風(fēng)影響引起風(fēng)偏放電，造成主變壓器跳閘。另一個方面來自于臺風(fēng)登陸后經(jīng)常帶來的強(qiáng)降雨，雨水沖刷線路桿塔基礎(chǔ)，引起桿塔傾斜甚至倒塌，洪水、泥石流對變電站、配電室特別是地下開閉所帶來嚴(yán)重影響，造成二次設(shè)備如端子箱、直流系統(tǒng)進(jìn)水，引起繼電保護(hù)裝置不能正常工作或誤動、拒動，甚至整個變電站停運(yùn)。

暴雨侵害變電站電氣設(shè)備絕緣，致使設(shè)備運(yùn)行異常或故障。強(qiáng)風(fēng)時的暴雨往往雨量大而急、方向偏，有時會發(fā)生局部龍卷風(fēng)雨，對變電站電氣設(shè)備的防雨密封構(gòu)成較大威脅。尤其是高壓開關(guān)室的屋頂、繼電保護(hù)室的門窗、戶外斷路器、隔離開關(guān)的機(jī)構(gòu)箱、端子箱等，這些重要部位發(fā)生滲漏雨，就可能造成高壓設(shè)備外部絕緣閃絡(luò)放電，或造成二次控制回路接地、短路故障，甚至導(dǎo)致保護(hù)及開關(guān)誤動跳閘。處于防洪標(biāo)準(zhǔn)較低地域的變電站還可能遭受洪災(zāi)、泥石流的嚴(yán)重威脅，處于城市內(nèi)澇嚴(yán)重地段的變電站有水淹變電站的危險(xiǎn)。

現(xiàn)有電網(wǎng)系統(tǒng)對暴雨災(zāi)害缺乏有效的檢測手段，不能有效預(yù)報(bào)災(zāi)害的發(fā)生，不能及時監(jiān)控災(zāi)情。指揮人員無法判斷暴雨災(zāi)害的發(fā)展趨勢及風(fēng)險(xiǎn)，無法掌握暴雨對電網(wǎng)設(shè)施引起的風(fēng)險(xiǎn)情況，無法得到相關(guān)的決策所需信息，這給電力系統(tǒng)的防災(zāi)減災(zāi)工作帶來了很多困難。因此，急需建立一個較為完善的防范預(yù)警系統(tǒng)，了解臺風(fēng)及暴雨洪澇的動態(tài)，能夠預(yù)測暴雨趨勢并顯示實(shí)際雨量及預(yù)警信息，及時了解暴雨洪澇可能對電網(wǎng)設(shè)備帶來的影響，及時做出部署，事后能根據(jù)災(zāi)害情況，對災(zāi)害對電網(wǎng)損害情況進(jìn)行評估，保證當(dāng)?shù)仉娋W(wǎng)的安全運(yùn)行。

1 資料收集

（1）災(zāi)情資料：臺州臨海自有記錄以來的暴雨電網(wǎng)災(zāi)害數(shù)據(jù)，多災(zāi)并重時，選取影響最大的災(zāi)害。并統(tǒng)計(jì)以街區(qū)為單元的電力災(zāi)情頻次。（2）暴雨資料：臺州市范圍內(nèi)氣象站（常規(guī)站、自動站）、電力氣象監(jiān)測站自有記錄以來的逐日降水量統(tǒng)計(jì)。（3）社會經(jīng)濟(jì)資料：臺州臨海以街道為單元的土地面積、區(qū)內(nèi)耗電量、國民生產(chǎn)總值（GDP）等數(shù)據(jù)。（4）基礎(chǔ)地理信息數(shù)據(jù)：臺州臨海1∶500比例尺的水系及DEM數(shù)據(jù)。（5）電網(wǎng)分布數(shù)據(jù)。

2 風(fēng)險(xiǎn)評估方法

從風(fēng)險(xiǎn)評估四要素出發(fā)，充分考慮致災(zāi)因子危險(xiǎn)性、孕災(zāi)環(huán)境敏感性、承災(zāi)體易損性和防災(zāi)減災(zāi)能力（即暴雨頻率、相對高差和水網(wǎng)密度、電網(wǎng)密度、國民生產(chǎn)總值）的空間差異和權(quán)重差異，進(jìn)行暴雨對電網(wǎng)安全影響的等級劃分、區(qū)劃和分區(qū)評價(jià)。

3 技術(shù)路線

電網(wǎng)風(fēng)險(xiǎn)評估技術(shù)路線見圖1。

3.1 致災(zāi)因子程度計(jì)算

統(tǒng)計(jì)各站每年1、2、3……7 d的暴雨過程降水量，分別建立降水過程序列，計(jì)算不同序列的第60、80、90、95、98百分位數(shù)的降雨量值，即劃分為1～5個等級。根據(jù)暴雨強(qiáng)度等級越高，對內(nèi)澇形成所起的作用越大的原則，確定降水致災(zāi)因子權(quán)重，將暴雨強(qiáng)度5、4、3、2、1級分別取作權(quán)重，并進(jìn)行5級劃分。

3.2 孕災(zāi)環(huán)境計(jì)算

高程：從高程數(shù)據(jù)中，劃分2 m×2 m的網(wǎng)格，采用周圍8個格點(diǎn)高程標(biāo)準(zhǔn)差為地形起伏變化，作為地形影響指數(shù)。高程越低、標(biāo)準(zhǔn)差越小，表示越有利于形成澇災(zāi)，影響值就越大。

水系：主要包括河網(wǎng)密度和距離水體的遠(yuǎn)近。在1∶500的地形圖中采用2 m×2 m的網(wǎng)格計(jì)算河網(wǎng)密度。距離水體遠(yuǎn)近的影響則用GIS中的計(jì)算緩沖區(qū)功能實(shí)現(xiàn)，其中河流應(yīng)按照一級河流和二級河流、湖泊水庫按照水域面積來分別考慮，分為一級緩沖區(qū)和二級緩沖區(qū)，給予0～1適當(dāng)?shù)挠绊懸蜃又怠：泳W(wǎng)密度和緩沖區(qū)影響規(guī)范化處理后，給予權(quán)重值，采用加權(quán)綜合評價(jià)法求得水系影響指數(shù)。

計(jì)算暴雨內(nèi)澇災(zāi)害孕災(zāi)環(huán)境敏感指數(shù)，并采用自然斷點(diǎn)法，將敏感性劃分為5個等級。

3.3 承災(zāi)體易損性

從發(fā)電量和耗電量兩方面分析，利用GIS中自然斷點(diǎn)法將綜合承災(zāi)體易損性指數(shù)按5個等級分區(qū)劃分，并基于GIS繪制綜合承災(zāi)體易損性指數(shù)區(qū)劃圖。

3.4 防災(zāi)抗災(zāi)能力

防災(zāi)抗災(zāi)能力是受災(zāi)區(qū)對暴雨災(zāi)害的抵御和恢復(fù)程度，是為應(yīng)對暴雨內(nèi)澇災(zāi)害所造成的損害而進(jìn)行的工程和非工程措施，主要考慮人均GDP。對人均GDP規(guī)范化處理后，利用自然斷點(diǎn)分級法，繪制暴雨內(nèi)澇災(zāi)害防災(zāi)抗災(zāi)能力區(qū)劃圖。

3.5 暴雨內(nèi)澇電網(wǎng)災(zāi)害風(fēng)險(xiǎn)區(qū)劃

在以上因子定量分析評價(jià)基礎(chǔ)上，暴雨內(nèi)澇災(zāi)害風(fēng)U指數(shù)計(jì)算式如下：

bynl=（bywe）（yzwh）（cztws）（10-fznl）wr

式中：bynl為暴雨內(nèi)澇災(zāi)害風(fēng)險(xiǎn)指數(shù)，用于表示風(fēng)險(xiǎn)程度，其值越大，則災(zāi)害風(fēng)險(xiǎn)程度越大；by、yz、czt、fznl的值分別為風(fēng)險(xiǎn)評價(jià)模型中的致災(zāi)因子的危險(xiǎn)性、孕災(zāi)環(huán)境的敏感性、承災(zāi)體的易損性和防災(zāi)減災(zāi)能力各評價(jià)因子指數(shù)；we、wh、ws、wr為各評價(jià)因子的權(quán)重，通過專家評分確定。最后利用GIS中自然斷點(diǎn)分級法將暴雨內(nèi)澇電網(wǎng)災(zāi)害風(fēng)險(xiǎn)指數(shù)按5個等級分區(qū)劃分（高、次高、中等、次低和低風(fēng)險(xiǎn)區(qū)），并基于GIS繪制區(qū)劃圖。

4 結(jié)語

隨著全球氣候變暖和城市化進(jìn)程的加快，城市暴雨內(nèi)澇已引起各國政府和學(xué)者的高度關(guān)注。社區(qū)作為組成現(xiàn)代城市的基本單元，在城市減災(zāi)降險(xiǎn)中具有重要的基礎(chǔ)作用。因此，以社區(qū)為基礎(chǔ)的災(zāi)害風(fēng)險(xiǎn)管理成為近年來國際社會普遍認(rèn)可并被實(shí)踐證明是行之有效的管理災(zāi)害的理念與手段，而風(fēng)險(xiǎn)評估作為社區(qū)災(zāi)害風(fēng)險(xiǎn)管理的基礎(chǔ)和前提則成為各國學(xué)者探討的熱點(diǎn)問題之一。該文以國網(wǎng)浙江省電力公司科技項(xiàng)目資助（521172Z1400SX）為依托，在實(shí)地考察和調(diào)研暴雨內(nèi)澇災(zāi)害及其風(fēng)險(xiǎn)管理現(xiàn)狀，并獲得大量文獻(xiàn)資料和一手?jǐn)?shù)據(jù)的基礎(chǔ)上，綜合運(yùn)用GIS方法、情景分析方法和概率統(tǒng)計(jì)方法開展了典型城市社區(qū)暴雨內(nèi)澇災(zāi)害風(fēng)險(xiǎn)評估的實(shí)證研究。

參考文獻(xiàn)

[1] 劉海珍，丁鳳琴.社區(qū)參與研究綜述[J].咸寧學(xué)院學(xué)報(bào)，2010，30（5）：16-17.

[2] 劉金平，周廣亞，黃宏強(qiáng).風(fēng)險(xiǎn)認(rèn)知的結(jié)構(gòu)、因素及其研究方法[J].心理科學(xué)，2006，29（2）：370-372.

第8篇：風(fēng)險(xiǎn)評估研究范文

一、集成熵權(quán)—AHP法的基本步驟

(一)定量權(quán)重的計(jì)算證券投資風(fēng)險(xiǎn)根據(jù)其成因可以歸納為靜態(tài)風(fēng)險(xiǎn)和動態(tài)風(fēng)險(xiǎn),這兩類風(fēng)險(xiǎn)是證券投資過程中內(nèi)外生變量的共同作用。一般認(rèn)為,證券投資風(fēng)險(xiǎn)具有一定的模糊性[3],因而證券投資組合定量分析結(jié)果的穩(wěn)定性將受到顯著影響。熵是數(shù)據(jù)無序程度的一種度量方式,熵越大則相應(yīng)數(shù)據(jù)的無序程度越高。證券投資風(fēng)險(xiǎn)的評估數(shù)據(jù)本身由于其量綱等影響,可以看作一系列無序數(shù)據(jù)。熵權(quán)法在證券投資風(fēng)險(xiǎn)評價(jià)中的應(yīng)用將有助于消除無序數(shù)據(jù)帶來的噪聲影響,得到一組基于定量方法的證券投資風(fēng)險(xiǎn)權(quán)重指標(biāo)。1.評價(jià)指標(biāo)標(biāo)準(zhǔn)化證券投資風(fēng)險(xiǎn)評價(jià)指標(biāo)數(shù)值可以看作一個含有m個評價(jià)單位,n個評價(jià)指標(biāo)的評價(jià)矩陣。其中,公式(1)適用于指標(biāo)值越大越好的指標(biāo),即收益性指標(biāo);公式(2)適用于指標(biāo)值越小越好的指標(biāo),即成本性指標(biāo)。2.熵值的計(jì)算第j個評價(jià)指標(biāo)的熵值是該指標(biāo)重要程度的衡量,且是負(fù)相關(guān)關(guān)系。3.熵權(quán)的計(jì)算指標(biāo)的熵權(quán)與其熵值呈反比關(guān)系,因而引入差異系數(shù)來表示該關(guān)系。定義第j個評價(jià)指標(biāo)的熵權(quán)為:

(二)定性權(quán)重的計(jì)算根據(jù)風(fēng)險(xiǎn)的可預(yù)測性,證券投資風(fēng)險(xiǎn)分為系統(tǒng)風(fēng)險(xiǎn)和非系統(tǒng)風(fēng)險(xiǎn)。一般認(rèn)為,系統(tǒng)風(fēng)險(xiǎn)可測,而非系統(tǒng)風(fēng)險(xiǎn)則依賴于先決經(jīng)驗(yàn)判斷,這個判斷過程往往是一種定性分析過程。層次分析法(AHP)是一種基于定性評價(jià)分值的簡易決策方法[6],該方法可以快速有效得出評價(jià)指標(biāo)權(quán)重并對評價(jià)單位進(jìn)行排序,設(shè)基于AHP法的證券投資評價(jià)指標(biāo)權(quán)重為ωj2,該權(quán)重是證券投資風(fēng)險(xiǎn)的經(jīng)驗(yàn)性主觀判斷的量化。

(三)集成熵權(quán)-AHP權(quán)重的計(jì)算證券投資是一種基于主觀經(jīng)驗(yàn)和客觀事實(shí)的綜合決策。主觀判斷體現(xiàn)了指標(biāo)的價(jià)值量,而客觀分析則包含了指標(biāo)的信息量[3]。文獻(xiàn)[1]從證券投資的主觀賦權(quán)方法入手研究投資的定性風(fēng)險(xiǎn),文獻(xiàn)[2]則研究了證券投資的定量風(fēng)險(xiǎn)。而集成熵權(quán)-AHP方法則兼顧了主觀和客觀賦權(quán),該方法在獲取指標(biāo)價(jià)值量的同時耦合了指標(biāo)的信息量,對于證券投資風(fēng)險(xiǎn)量化更加接近事實(shí)。基于客觀賦權(quán)法指標(biāo)權(quán)重ωj1和基于主觀賦權(quán)法的指標(biāo)權(quán)重ωj2可以看作n維空間中的兩個向量,這兩個向量存在一定的相關(guān)關(guān)系,也就是一定程度的信息重疊,但又有部分變異。因此同時與這兩個向量擁有最小距離的新向量ω*j則可以最大限度地反映這兩個向量的共同信息?；谶@個分析,集成的熵權(quán)-AHP權(quán)重計(jì)算可以表示為如下的線性規(guī)劃問題。

二、集成熵權(quán)—AHP法的實(shí)證研究

文獻(xiàn)[1]和[2]用同一組數(shù)據(jù)分別研究了定性和定量證券投資風(fēng)險(xiǎn),本文引用這組數(shù)據(jù)進(jìn)行定量和定性分析結(jié)合的研究,并把研究結(jié)果與文獻(xiàn)[1]和[2]作比較來說明本文方法的優(yōu)越性。

(一)集成熵權(quán)-AHP權(quán)重計(jì)算把ωj1、ωj2和yij代入公式(5),通過MATLAB7編程計(jì)算可得基于集成的熵權(quán)-AHP權(quán)重算法的證券投資風(fēng)險(xiǎn)評價(jià)指標(biāo)權(quán)重ω*j,表1是基于定量分析、定性分析和定量定性分析結(jié)合的證券投資風(fēng)險(xiǎn)評價(jià)指標(biāo)權(quán)重比較表。從表1可以看出,ω*j的值介于ωj1和ωj2之間,縮小了ωj2因?yàn)閬碓从谥饔^賦權(quán)而帶來的較大標(biāo)準(zhǔn)差,也就是說弱化了評價(jià)指標(biāo)之間的價(jià)值量變異影響;與此同時也擴(kuò)大ωj1數(shù)值之間的差距,為評價(jià)指標(biāo)信息量的度量提供區(qū)分度。為說明集成熵權(quán)-AHP權(quán)重算法的相對優(yōu)越性,進(jìn)行了SPEARMAN相關(guān)系數(shù)的計(jì)算,計(jì)算結(jié)果見表2。表2顯示,ωj1和ωj2之間存在明顯相關(guān)性,說明定量或者定性分析本身都在很大程度上表明證券投資的風(fēng)險(xiǎn)評價(jià)指標(biāo)權(quán)重;但是ω*j與ωj1和ωj2的相關(guān)系數(shù)則大幅度提升,這個現(xiàn)象表明基于集成熵權(quán)-AHP權(quán)重算法所得的權(quán)重更好地解釋了事實(shí)。

(二)證券投資組合風(fēng)險(xiǎn)評估證券投資組合風(fēng)險(xiǎn)估值可以表示為證券投資風(fēng)險(xiǎn)評價(jià)矩陣和評價(jià)指標(biāo)權(quán)重的線性組合。

第9篇：風(fēng)險(xiǎn)評估研究范文

【關(guān)鍵詞】P2P網(wǎng)貸 信貸風(fēng)險(xiǎn) Logit回歸

P2P網(wǎng)貸是在互聯(lián)網(wǎng)環(huán)境下發(fā)展起來的一種全新的借貸模式，但是隨著P2P網(wǎng)貸的發(fā)展，信譽(yù)問題隨之而來。其中，缺乏專業(yè)的平臺信審程序是造成無法準(zhǔn)確評估借款人信用的最主要原因，因此，本文擬從個人客戶的基本信息、個人客戶的貸款記錄、個人客戶的還貸記錄等資料中選取影響借款人還款意愿和能力的指標(biāo)，嘗試構(gòu)建Logistic回歸模型；進(jìn)一步地，采集人人貸、宜信、紅嶺創(chuàng)投、拍拍貸、有利網(wǎng)五家P2P平臺的樣本數(shù)據(jù)，通過實(shí)證分析對網(wǎng)貸平臺信用風(fēng)險(xiǎn)的評價(jià)起到一定的決策支持作用。

一、Logistic回歸模型

Logistic回歸模型。在Logit回歸中，只需建立以logit（P）為因變量，建立包含p個因變量的Logistic回歸模型如下：

■ （1）

其中，X=（X1X2……Xp）T為p維向量，β=（β1β2……βp）為待求的系數(shù)。

這就是Logistic回歸模型。由（1）可推導(dǎo)出：

■ （2）

■ （3）

已知本文Y∈（0，1），現(xiàn)定義Yi=1為第i個客戶按時還款，Yi=0為第i個客戶違約，在Logistic回歸中本文定義P為客戶按時還款的概率，即■。

二、建立Logit回歸模型

（一）模型指標(biāo)的選取

指標(biāo)變量的信息需要涵蓋個人客戶三個方面的信息：個人客戶的基本信息、個人客戶的貸款記錄、個人客戶的還貸記錄。本文選擇10項(xiàng)具有普遍性和代表性的指標(biāo)作為本文的評價(jià)指標(biāo)變量，并建立個人信用風(fēng)險(xiǎn)評價(jià)模型。本文對指標(biāo)進(jìn)行了分類、賦值，如表1。

表1 指標(biāo)分述

■

■

本文將原始數(shù)據(jù)經(jīng)過賦值處理后，通過SPSS軟件對數(shù)據(jù)進(jìn)行l(wèi)ogit回歸處理，運(yùn)用逐步向前回歸方法來篩選對因變量影響最顯著的變量，將其納入模型。由分析結(jié)果可以得出，工作年限的回歸系數(shù)為正，表明其數(shù)值越大，該客戶還款的概率就越大。工作年限是反映客戶工作經(jīng)驗(yàn)積累的一個指標(biāo)，工作時間越長，擁有的資產(chǎn)會多一些，違約的概率越小，反之，違約概率較大，即工作時間較短的客戶違約風(fēng)險(xiǎn)大于工作年限長的客戶，因此其違約的概率也相應(yīng)提升。

年收入范圍在0.05的顯著性水平下與是否違約呈現(xiàn)出正相關(guān)。收入情況直接決定了借款人財(cái)務(wù)狀況和還款能力，收入越高，選擇誠信的可能性就越大，還款能力越強(qiáng)，違約的幾率也就越低。這也與實(shí)際狀況相符，高收入人群往往能夠更快地還清貸款。

近半年信用卡逾期次數(shù)、近半年貸款逾期次數(shù)兩個指標(biāo)在一定程度上是衡量客戶信用以及經(jīng)濟(jì)狀況的指標(biāo)，本文之所以選擇近半年為時間段是因?yàn)镻2P小額貸款是面對個人以及一些小型企業(yè)進(jìn)行的小額、短期的借貸活動，近半年的各種信用指標(biāo)在很大程度上能夠折射出客戶近期的經(jīng)濟(jì)狀況、信用狀況，以及未來短期時間內(nèi)的還款能力。二者都與是否違約呈現(xiàn)出負(fù)相關(guān)，即逾期次翟蕉啵信用狀況越差，違約的可能性也相應(yīng)的提高。

將相應(yīng)的參數(shù)代入到模型中可得：

■

根據(jù)式（2）或者（3）即可得出客戶相應(yīng)的還款概率P。選取樣本中的一組數(shù)字舉例來說，X6=0.8，X7=0.8，X9=0，X10=1，即可得出logit（P）=3.5906，進(jìn)而得出■，即還款概率為97.32%。

（二）模型檢驗(yàn)

通過向前逐步回歸，得到的分類預(yù)測結(jié)果。由此可以看出，該回歸對于個人信用風(fēng)險(xiǎn)預(yù)測的準(zhǔn)確率較高，對于參與檢驗(yàn)的樣本的預(yù)測準(zhǔn)確率達(dá)到了89.2%。在最后一步的回歸中，未償還貸款的29個樣本，21個預(yù)測結(jié)果為違約，8個被誤測為不違約，準(zhǔn)確率達(dá)到了72.4%。在按時還款的91個樣本中，86個準(zhǔn)確預(yù)測，5個被誤測違約，準(zhǔn)確率達(dá)到了94.5%。易知，運(yùn)用Logit回歸對個人信用風(fēng)險(xiǎn)進(jìn)行預(yù)測，具有較高的準(zhǔn)確率和可信度。

三、結(jié)論與展望

本文借助構(gòu)建個人信用風(fēng)險(xiǎn)評價(jià)的Logit回歸模型，基于五家P2P平臺的120組樣本數(shù)據(jù)，實(shí)證分析表明：工作年限、年收入、近半年信用卡逾期次數(shù)、近半年貸款逾期次數(shù)指標(biāo)在反映個人信用風(fēng)險(xiǎn)狀況方面具有較好的代表性，對于是否違約的樣本預(yù)測準(zhǔn)確率分別達(dá)到72.4%、94.5%，并且模型整體預(yù)測準(zhǔn)確率達(dá)到89.2%，表明該模型具有一定的實(shí)際使用價(jià)值。事實(shí)上影響客戶能否按時還款的因素還有很多，除了一些能夠量化的因素之外，客戶本身的道德品質(zhì)更是一個關(guān)鍵因素。因此，今后的研究如能添加對一些非量化因素的考量，勢必能為P2P網(wǎng)貸信用風(fēng)險(xiǎn)的評價(jià)、預(yù)測以及后續(xù)的風(fēng)險(xiǎn)響應(yīng)和規(guī)避等勾勒出一幅完美的圖景。

參考文獻(xiàn)

[1]陳為民，馬超群，馬林.我國個人信用評分的發(fā)展趨勢[J].商業(yè)研究，2010，（1）：98-101.

[2]王繼暉，李成.網(wǎng)絡(luò)借貸模式下反洗錢風(fēng)險(xiǎn)分析與應(yīng)對.[J].金融與經(jīng)濟(jì)，2011.（9）：9-11.