孙伟成 毕 霞

0 引言

随着计算机网络信息技术的发展，网络已经逐渐成为人们生活和工作中不可或缺的组成部分。根据中国互联网络信息中心统计的数据，到2012年6月底，中国的网民数量达到5.38亿，世界排名第一[1]。然而，信息技术作为一把双刃剑，人们在尽情享受信息技术带来的巨大进步的同时，也在不断地遭受病毒、黑客、特洛伊木马等对信息安全造成的严重的威胁[2]。信息安全风险评估是加强信息安全建设的重要环节，通过开展信息安全风险评估工作，可以发现信息安全存在的问题和矛盾，并能迅速地找到诸多解决问题的办法。

1 我国信息安全风险评估发展现状

信息安全风险评估，就是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护策略和整改措施，并为防范和化解信息安全风险，或者将风险控制在可接受的水平，从而最大限度地为保障网络和信息安全提供科学依据[3]。

我国在信息安全风险评估方面的研究起步较晚，对信息安全问题认识的逐步深化是促使信息安全风险评估发展的主要推动力。早期的信息安全工作是以信息保密为中心，通过保密检查来发现问题，进而提出改进措施，是一种被动行为。自20世纪80年代之后，随着计算机信息技术的推广以及网络信息技术的发展，人们越来越深刻地认识到信息安全的重要性，国家也开始把信息系统的安全评测纳入工作范围，风险评估逐步成为我国信息安全评估的重要组成部分。……