廖菲菲

（西华师范大学 计算机学院，四川 南充 637000）

0 引言

近日、中国互联网络信息中心（CN NIC）发布了第45次《中国互联网络发展状况统计报告》（以下简称“报告”），《报告》显示，截至2020年3月，我国网民规模为9.04亿，互联网普及率高达64.5%[1]。随着互联网的普及，越来越多的网络应用应运而生。网络购物、在线支付、即时通信、短视频、直播等应用逐步占领网民们的闲暇时间；而受新冠肺炎疫情影响，在线教育、电子政务等应用在疫情期间也发挥了举足轻重的作用。

《报告》显示：截至2020年3月，我国在线教育用户规模达4.23亿人，占网民整体的46.8%，在线政务用户规模达6.94亿人，占网民整体的76.8%。在此背景下，网络攻击也逐步由针对个人的小规模攻击衍生至针对教育、政务等公共事务的大规模攻击。

《信息安全技术网络安全等级保护基本要求（第二版）》的发布实施意味着国家对网络安全的重视程度与日俱增，文件要求网络运营者和关键信息基础设施运营商必须满足等保合规要求，否则将面临不同程度的处罚措施。而等级保护制度中，风险评估是基础，全面且正确的风险评估结果对企业用户的建设整改起到决定性的作用。

1 风险分析模型

信息安全风险，是指人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全时间的发生及其对组织造成的影响。风险的构成包括5个方面：威胁源、威胁行为、脆弱性、资产和影响。其中，资产是与企业用户关系最为密切的属性。资产是指用户所拥有的一切对组织有价值的值得保护的对象。……