肖新祥 施游

摘要：本文以信息系统安全评估过程为研究对象，围绕风险分析方法、风险计算方法、网络安全风险处置、安全风险评估方法进行了深入的研究和探讨。

关键词：安全评估;风险分析;评估过程;风险计算;风险处置

中图分类号：TP393      文献标识码：A

文章编号：1009-3044（2021）11-0003-03

由于信息系统与网络也会存在各类的风险，不了解风险、不控制风险就无法保证信息系统的安全。对于各类信息系统，尤其是即将上线的信息系统，需要有一套安全评估体系和方法评估和分析风险，然后再寻找对应的方法防范风险或者减小风险带来的损失。

风险评估就是依据标准，利用评估技术、方法、工具，对系统中资产、威胁、脆弱点所带来风险的大小，以及可能的控制措施的全面评估。

1 安全评估概述

系统外部可能造成的损害，称为威胁;系统内部可能造成的损害，称为脆弱性。系统风险则是威胁利用脆弱性造成损坏的可能性。网络风险评估就是评估攻击网络、系统的脆弱性而造成的损失程度。

网络安全风险评估要素包含资产、威胁、脆弱性、风险、安全措施等。具体关系如图1所示。

网络安全风险评估方式有自评估、检查评估、委托评估等。

实际应用中，常使用期望货币值、系统风险量化值等工具量化评价系统的风险。

（1）期望货币值

期望货币值（Expected Monetary Value，EMV）用于计算在将来某种情况下发生或不发生的情况下的平均结果。期望货币价值是每个可能的值与其发生概率相乘之后的总和。……