風險評估分析方法范文
前言：我們精心挑選了數篇優質風險評估分析方法文章，供您閱讀參考。期待這些文章能為您帶來啟發，助您在寫作的道路上更上一層樓。
第1篇
中圖分類號：F062.5 文獻標識碼：A 文章編號：1009-914X（2013）06-0100-02
隨著計算機信息系統在各軍工企業的科研、生產和管理的過程中發揮巨大作用，部分單位提出了軍工數字化設計、數字化制造、異地協同設計與制造等概念，并開展了ERP、MES2～PDM等系統的應用與研究。這些信息系統涉及大量的國家秘密和企業的商業秘密，是軍工企業最重要的工作環境。因此各單位在信息系統規劃與設計、工程施工、運行和維護、系統報廢的過程中如何有效的開展信息系統的風險評估是極為重要的。
一、風險評估在信息安全管理體系中的作用
信息安全風險評估是指依據國家風險評估有關管理要求和技術標準，對信息系統及由其存儲、處理和傳輸的信息的機密性、完整性和可用性等安全屬性進行科學、公正的綜合評價的過程。風險評估是組織內開展基于風險管理的基礎，它貫穿信息系統的整個生命周期，是安全策略制定的依據，也是ISMS（Information Security Management System，信息安全管理體系）中的一部分。風險管理是一個建立在計劃（Plan）、實施（D0）、檢查（Check）、改進（Action）的過程中持續改進和完善的過程。風險評估是對信息系統進行分析，判斷其存在的脆弱性以及利用脆弱性可能發生的威脅，評價是否根據威脅采取了適當、有效的安全措施，鑒別存在的風險及風險發生的可能性和影響。
二、信息系統安全風險評估常用方法
風險評估過程中有多種方法，包括基于知識（Knowledge based）的分析方法、基于模型（Model based）的分析方法、定性（Qualitative）分析和定量（Quantitative）分析，各種方法的目標都是找出組織信息資產面臨的風險及其影響，以及目前安全水平與組織安全需求之間的差距。
1、基于知識的分析方法
在基線風險評估時采用基于知識的分析方法來找出目前安全狀況和基線安全標準之間的差距。基于知識的分析涉及到對國家標準和要求的把握，另外評估信息的采集也極其重要，可采用一些輔的自動化工具，包括掃描工具和入侵檢測系統等，這些工具可以幫助組織擬訂符合特定標準要求的問卷，然后對解答結果進行綜合分析，在與特定標準比較之后給出最終的報告。
2、定量分析方法
定量分析方法是對構成風險的各個要素和潛在損失的水平賦予數值或貨幣金額，當度量風險的所有要素（資產價值、威脅頻率、弱點利用程度、安全措施的效率和成本等）都被賦值，風險評估的整個過程和結果就都可以被量化。定量分析就是從數字上對安全風險進行分析評估的一種方法。定量分析兩個關鍵的指標是事件發生的可能性和威脅事件可能引起的損失。
3、定性分析方法
定性分析方法是目前采用較為廣泛的一種方法，它具有很強的主觀性，需要憑借分析者的經驗和直覺，或國家的標準和慣例，為風險管理諸要素的大小或高低程度定性分級。定性分析的操作方法可以多種多樣，包括討論、檢查列表、問卷、調查等。
4、幾種評估方法的比較
采用基于知識的分析方法，組織不需要付出很多精力、時間和資源，只要通過多種途徑采集相關信息，識別組織的風險所在和當前的安全措施，與特定的標準或最佳慣例進行比較，從中找出不符合的地方，最終達到消減和控制風險的目的。
理論上定量分析能對安全風險進行準確的分級，但前提是可供參考的數據指標是準確的，事實上隨著信息系統日益復雜多變，定量分析所依據的數據的可靠性也很難保證，且數據統計缺乏長期性，計算過程又極易出錯，給分析帶來了很大困難，因此目前采用定量分析或者純定量分析方法的比較少。
定性分析操作起來相對容易，但也存在因操作者經驗和直覺的偏差而使分析結果失準。定性分析沒有定量分析那樣繁多的計算負擔，但卻要求分析者具備一定的經驗和能力。定量分析依賴大量的統計數據，而定性分析沒有這方面的要求，定量分析方法也不方便于后期系統改進與提高。
本文結合以上幾種分析方法的特點和不足，在確定評估對象的基礎上建立了一種基于知識的定性分析方法，并且本方法在風險評估結束后給系統的持續改進與提高提供了明確的方法和措施。
三、全生命周期的信息系統安全風險評估
由于信息系統生命周期的各階段的安全防范目的不同，同時不同信息系統所依據的國家標準和要求不一樣，使風險評估的目的和方法也不相同，因此每個階段進行的風險評估的作用也不同。
信息系統按照整個生命周期分為規劃與設計、工程實施、運行和維護、系統報廢這四個主要階段，每個階段進行相應的信息系統安全風險評估的內容、特征以及主要作用如下：
第一階段為規劃與設計階段，本階段提出信息系統的目的、需求、規模和安全要求，如信息系統是否以及等級等。信息系統安全風險評估可以起到了解目前系統到底需要什么樣的安全防范措施，幫助制定有效的安全防范策略，確定安全防范的投入最佳成本，說服機構領導同意安全策略的完全實施等作用。在本階段標識的風險可以用來為信息系統的安全分析提供支持，這可能會影響到信息系統在開發過程中要對體系結構和設計方案進行權衡。
第二階段是工程實施階段，本階段的特征是信息系統的安全特征應該被配、激活、測試并得到驗證。風險評估可支持對系統實現效果的評價，考察其是否滿足要求，并考察系統運行的環境是否是預期設計，有關風險的一系列決策必須在系統運行之前做出。
第三階段是運行和維護階段，本階段的特征是信息系統開始執行其功能，一般情況下系統要不斷修改，添加硬件和軟件，或改變機構的運行規則、策略和流程等。當定期對系統進行重新評估時，或者信息系統在其運行性生產環境中做出重大變更時，要對其進行風險評估活動，了解各種安全設備實際的安全防范效果是否有滿足安全目標的要求；了解安全防范策略是否切合實際，是否被全面執行；當信息系統因某種原因做出硬件或軟件調整后，分析原本的安全措施是否依然有效。
第四階段是系統報廢階段，可以使用信息系統安全風險評估來檢驗應當完全銷毀的數據或設備，確實已經不能被任何方式所恢復。當要報廢或者替換系統組件時，要對其進行風險評估，以確保硬件和軟件得到了適當的報廢處置，且殘留信息也恰當地進行了處理，并且要確保信息系統的更新換代能以一個安全和系統化的方式完成。對于是信息系統的報廢處理時，應按照國家相關保密要求進行處理和報廢。
四、基于評估對象，知識定性分析的風險評估方法
1、評估方法的總體描述
在信息系統的生命周期中存在四個不同階段的風險評估過程，其中運行和維護階段的信息系統風險評估是持續時間最長、評估次數最多的階段，在本階段進行安全風險評估，首先應確定評估的具體對象，也就是限制評估的具體物理和技術范圍。在信息系統當中，評估對象是與信息系統中的軟硬件組成部分相對應的。例如，信息系統中包括各種服務器、服務器上運行的操作系統及各種服務程序、各種網絡連接設備、各種安全防范設備和產品或應用程序、物理安全保障設備、以及維護管理和使用信息系統的人，這些都構成獨立的評估對象，在評估的過程中按照對象依次進行檢查、分析和評估。通常將整個計算機信息系統分為七個主要的評估對象：（1）信息安全風險評估；（2）業務流程安全風險評估；（3）網絡安全風險評估；（4）通信安全風險評估；（5）無線安全風險評估；（6）物理安全風險評估；（7）使用和管理人員的風險評估。
在對每個對象進行評估時，采用基于知識分析的方法，針對互聯網采用等級保護的標準進行合理分析，對于軍工企業存在大量的信息系統，采用依據國家相關保密標準進行基線分析，同時在分析的過程中結合定性分析的原則，按照“安全兩難定律”、“木桶原理”、“2/8法則”進行定性分析，同時在分析的過程中，設置一些“一票否決項”。對不同的評估對象，按照信息存儲的重要程度和數量將對象劃分為“高”、“中”、“低”三級，集中處理已知的和最有可能的威脅比花費精力處理未知的和不大可能的威脅更有用，保障系統在關鍵防護要求上得到落實，提高信息系統的魯棒性。
2、基于知識的定性分析
軍工企業大多數信息系統為信息系統，在信息系統基于知識分析時，重點從以下方面進行分析：物理隔離、邊界控制、身份鑒別、信息流向、違規接入、電磁泄漏、動態變更管理、重點人員的管理等。由于重要的信息大多在應用系統中存在，因此針對服務器和用戶終端的風險分析時采用2/8法則進行分析，著重保障服務器和應用系統的安全。在風險評估中以信息系統中的應用系統為關注焦點，分析組織內的縱深防御策略和持續改進的能力，判別技術和管理結合的程度和有效性并且風險評估的思想貫穿于應用的整個生命周期，對信息系統進行全面有效的系統評估。在評估過程中根據運行環境和使用人群，判別技術措施和管理措施互補性，及時調整技術和管理措施的合理性。在技術上無法實現的環節，應特別加強分析管理措施的制定和落實是否到位和存在隱患。
3、注重縱深防御和持續改進
第2篇
1信息安全風險評估的方法
1.1定性分析方法
這是評估方法具有的一個明顯特點就是它的主觀性較強，在風險評估人員主觀上對資產風險因素所面臨的威脅以及漏洞等作出評估判斷的過程。它的結構構成包括故障樹分析法、事件樹分析法以及原因———后果法等。（1）故障樹分析法。這種分析方法的適用于對風險事件的發生源之間關系以及它的深層次原因進行探究的，它的主要目的是在發現信息故障后對信息安全所進行的定性分析。從它的運行原理來看，它是把信息系統中發生的結果來作為首要解決的問題，分析總結出不愿發生事件的形成因素，從而確定出各個因素之間的邏輯關系。（2）事件樹分析方法。這種方法是在原有的信息系統風險基礎上，來對這些信息安全風險事件發生可能產生的風險結果進行詳細的分析探究，它的分析工作開展的一個顯著特點就是需要對序列組中可能發生的危險事故的結果進行合理的列舉，需要注意的是這并代表是最后的結果，只是其中的一個環節，但是它的缺點就是不適于進行大范圍的普適。（3）原因———后果分析方法。這種分析方法從運行原理的實質上來看，它是對前兩種分析方法的一種融合，它是前兩種分析方法所具有顯著特點的結合，但是，這種方法也有應用的缺點，就是它在大型的、復雜的信息系統中應用并起不到應有的效果。
1.2定量分析方法
這種分析方法是對定性方法的一種改進，削弱了定性方法的主觀性，但是在一些大型復雜的信息系統中，就很可能造成一些定量數據難以獲得，需要浪費較多的時間成本，基于此，它的應用最為廣泛的是定量的故障樹分析法和風險評審技術兩種。
1.3定性分析和定量分析相結合的方法
這種兩相結合的方法在現代應用領域中是最為常見的，也是最適合的形式，這兩種方法相結合的主要目的是為了有效的彌補定性分析法和定量分析法之間的缺陷，因此，它的綜合性就會相對強一些。這種分析模式，適用范圍最為廣泛的并且最為主流的是層次分析法。
2在業務流程基礎上的信息安全風險評估方法
2.1信息資產的辨別
信息安全風險評估主要是針對于信息和信息處理設備所受到的威脅、影響以及威脅事件發生后所帶來的損失而進行的評估預測，那么所進行評估的內容主要涉及到四個要素，即資產、威脅、漏洞以及原有的安全措施。對于這四個要素之間的關系論述，它們是屬于相互關系、相互作用的因素，各自對系統風險的影響各不相同，共同構成復雜的風險評估系統工程。我們在實際的風險評估工作中，主要是對已經存在的風險提出一系列有效的安全防范措施，并依據風險措施實行采取合理的控制措施，從而使風險控制到最合理的范圍內，那么這么講就可以把它的具體實施流程劃分為兩大部分，即對風險的分析和對風險的控制。
2.2業務流程的風險模型分析
在業務開展的基本流程中，對于位置變動資產的識別可以在它的開始階段就進行，這是對位置變動來說的，而對于位置固定的資產識別，就需要對每一個具體業務的節點進行逐一開展。對于位置固定資產的識別來說，因為其自身需要有大量的人工操作，因此它的風險一般是集中于業務節點環節上，并且各個節點上的風險類別、發生方式、起源以及造成的后果影響都是不相同的。此外，由于這些風險的產生是因為位置固定資產而引起的，因此，在業務流程的過程中一般只需要對位置固定資產的風險采取相應的控制措施就可以了，這樣也就確保了位置別動不會對資產的保密性、完整性以及可用性造成威脅。
3總結
第3篇
【關I詞】工程試驗 風險評估 應急方法
安全可靠性是煤礦工程中最為人注意的問題，這一問題存在很強的不確定性，所以對工程試驗進行風險評估以及編制應急預案是當前煤礦工程中一個較好的研究方向。下面就以新疆澇壩灣煤礦副平硐工程為例對工程試驗中的風險評估以及應急方案展開分析。
1 工程試驗中的風險評估
1.1 機械拼裝、調試工作的風險評估及控制措施
在接卸拼裝過程中，由于接卸本身的設計缺陷或者工作人員的失誤會導致機械無法正常運轉的風險，相應的風險控制措施有：（1）設備拼裝人員要具備過硬的專業技術水平和高度的責任感；（2）設備在進場前保證質量完好、無缺陷、能夠正常運轉，運輸中注意設備的保護，防止磕碰。
1.2 龍門吊的安裝、調試工作的風險評估及控制措施
龍門吊在安裝過程中軌道鋪設未達標、位置不準確；在龍門吊使用過程中工作人員不專業、指揮不恰當等都是風險因子，相應的風險控制措施有：（1）設備拼裝人員要具備過硬的專業技術水平和高度的責任感。（2）設備在進場前保證質量完好、無缺陷、能夠正常運轉，運輸中注意設備的保護，防止磕碰。（3）在設備安裝、調試時全過程監控，嚴格按操作規程作業。
1.3 復合式硬巖掘進機始發、掘進以及出洞的風險評估和控制措施
復合式硬巖掘進機作為一種大型的施工機械，在其始發、掘進以及出洞的過程中會擁有很多風險因子，比如洞口密封失效、基座安裝不合適、地質條件發生變化等都是風險因子，相應的風險控制措施有：（1）洞門密封圈安裝要準確，在盾構推進的過程中要注意觀察，防止盾構刀盤的周邊刀割傷橡膠密封圈；密封圈可涂牛油增加性；洞門的扇形鋼板要及時調整，改善密封圈的受力狀況；（2）對基座框架結構的強度和剛度進行驗算，以滿足出洞時盾構穿越加固土體所產生的推力要求；（3）詳細了解地質狀況，根據地質變化及時調整施工參數。
2 工程試驗中的應急預案
2.1 應急處理流程
工程試驗中的應急預案流程圖如圖1所示。
2.2 應急方法和措施
2.2.1 掘進機機前方塌方應急處理措施
發生塌方，保護好現場。對塌方區域人員進行疏散，并派糾察進行維持，就發生塌方產生的后果進行評估。如在開倉時發生塌方現象，人員立即從土倉里撤出，關倉并恢復推進。掘進機機必須連續推進，以短時間內通過塌方區域，在掘進機機尾部通過塌方區時必須超量注漿，以補充塌方造成的土體空隙。嚴格控制掘進機姿態，選擇正確合適的推進參數。
2.2.2 工傷事故應急處理措施
（1）首先搶救傷員及國家財產，保護現場；采取措施制止事故擴大和蔓延。（2）及時向有關領導報告；必須建立和健全緊急救援職責；根據事故緊急救援領導職責及職責分解，本工程救援措施第一責任人為項目生產副經理；其他管理人員為救援隊伍必須配合人員。（3）被搶救人員以就近醫院救治為原則，同時可根據受傷部位送專科及特色醫院，本施工項目應由的工傷事故急救特色醫院清單，以備急用。食物中毒視情況立即報告衛生部門；火災立即報告消防部門；水災立即通知水利專管部門。（4）根據災情制定現場緊急措施，立即在現場布置警戒線，并維護現場秩序，組織做好人員疏散工作。（5）查明事故造成的人員傷亡及財產損失。（6）根據事故調查和處理程序，組織進行事故調查和處理。
2.2.3 消防應急處理措施
（1）施工現場及井下必須配備應急燈，專人負責保管，檢修保持良好狀態。（2）一旦發生火警由當班施工負責人組織義務消防隊員和現場施工人員積極撲救，及時向領導匯報和向119報警。（3）在分工各就各位的基礎上，對易燃部位加強控制，防止蔓延。
2.2.4 防汛防雪應急處理措施
工程在汛情期間，必須加強重點部位巡視檢查，確保重點部位及其周邊地區的排水暢通。一旦工地或周圍發生積水情況，在半個小時內（最遲不得超過1個小時）防汛防雪值班人員必須趕到現場進行排水搶險。在對重點部位重點監控的同時，也要對其它一般部位進行強化管理，首先確保每個施工點要有專人負責防汛、防臺工作，并確保防汛防臺設備完好，同時要求每一個施工點建立巡視制度，一旦發生意外情況，馬上向項目部及項經部防汛防臺領導小組匯報，并立即制定對策后付諸實施。
綜上所述，在工程試驗中開展風險評估，編制應急預案的做法是非常有必要的，這些措施可以有效降低工程的風險，保障施工人員的生命安全。
參考文獻：
