风险评估的案例范文
前言：我们精心挑选了数篇优质风险评估的案例文章，供您阅读参考。期待这些文章能为您带来启发，助您在写作的道路上更上一层楼。
第1篇
【关键词】信息系统；安全；风险评估；管理
一、信息系统安全
何谓信息系统，依据美国国家信息系统安全词汇表的定义，信息系统是指用于收集、处理、存储、传输、显示、传播和清除信息的所有设施、组织、人员等部件的总和。在这个定义中，我们不难看出，信息系统应该是一种结合了人力因素、硬件设备、软件系统等多方面元素的一种集合。信息系统的安全，主要就是围绕着信息系统的功能，即数据的处理、存储、传输等内容来展开。当前信息系统存在的安全隐患就是数据被篡改、被窃取、系统运行被破坏这几种情形。信息系统的安全以数据为核心，但是其内容又并不局限于数据，理论上信息系统的安全包括四个方面的内容，即实体安全、运行安全、数据安全和管理安全四个方面。这其中的每一个方面对信息系统的安全评价角度都是不同的，不同角度的安全评价决定了我们在对信息系统进行风险评估时所选取的方式和角度也必然是不同的。
夜上海论坛 二、信息系统风险评估方法
根据信息系统的构建和组成，我们对信息系统的风险评估主要采用以下几种方法：（1）事件树分析：这是一种利用逻辑进行演绎推理的方法，它的作用发挥方式是以某一个给定的事件为依据。根据这个事件展开分析，寻找出可能出现的各种具有影响力的后果，通过多角度、多层面的推理演绎，实习对风险的预估。（2）层次分析法：是一种多指标综合评价方法。这种评价方法的关键在于寻找不同因素直接存在的联系，这种联系可能表现为相互制约，也可能表现为一种形态上的隶属关系。无论是那一种关系，都需要按照一定的标准，采用数学方法对不同的因素进行层次上的排序。然后根据排序的结果来对风险进行预估。（3）BP神经网络：是一种按误差逆向传播算法训练的多层前馈网络，具有自学习能力，能够实现输入和输出之间的复杂非线性关信息系统的风险管理系。缺点是风险因素的权值确定较难，优点是有自学能力，问题抽象化，适用于事故预测和方案择优。（4）故障树分析：这是一种较为形象的风险预测方法，即首先对具有潜在危险的各种因素进行初始的分析，根据这些因素绘画出故障树，利用故障树来发现不同因素之间存在的复杂联系，找出事件发生之间的联系。（5）风险评审技术方法：通过模拟实际系统研制时间、费用及性能分布，针对不同条件对信息系统的风险进行预测，需多次访问，数据准确性要求高。
三、信息系统的风险管理
无论是对信息系统安全还是风险评估方法，我们的目的都是希望其最终能够服务于信息系统的风险管理工作。信息系统的风险管理，我们从以下几个方面来进行分析：第一，信息系统的动态风险态势评估。信息系统的风险管理，是一项动静结合的工作。由于当前网络环境是处于不断运动的状态，所以动态管理对信息系统的风险管理具有重要的意义。信息系统面临的风险虽然具有突发性，但是我们通过对某一段时间的态势值比较分析能够做出一定的判断，当一段时间内的态势值与正常范围内的态势值有差异的时候，我们应该加强系统信息的风险预警。通过这种动态的评估，管理人员能够在数据参考的基础上做出一些应对。第二，ART-BP神经网络的模糊专家系统风险管理。随着计算机技术和网络信息技术的进一步普及，信息系统在未来仍然会以规模化的趋势覆盖我们的日常生活，信息系统对人类生活产生的重要影响将越来越突出，风险管理的水平必须进一步提升和加强。ART-BP神经网络的基本工作原理是：网络接收外面环境的输入状况，对网络已经存储的模式和新来的网络样本进行比较和权衡，通过一定的程序对二者的相似度进行计算，利用阈值检查已有的网络存储模式和输入的样本，并且对连接权重进行调整，实现最大的相似度。第三，加强风险管理中的人力因素管理。信息系统是由人力、硬软件设备共同发挥作用而组成的一个管理系统。信息系统各种不安全因素的出现，最大的始作俑者也是人类，人力因素在整个信息系统的安全管理中有着重要的作用。信息系统的风险管理，必须加强对人力因素的控制和管理，人力因素在整个系统风险管理中作用的发挥的是首要的。加强人力因素的管理，首先我们要提高从业人员的素质，这种素质不仅仅是专业的信息技术素质，而且包括一个人的品行、工作态度等多方面素质的综合。其次加强那个人力因素管理，还应该通过制度来予以明确的规定，用明文的制度来规范具体的操作行为和操作流程，加强风险预警意识的培养，是实现风险管理的另一个重要途径。
参考文献
夜上海论坛 [1]刘翠翠，王云．浅析网络信息安全挑战及其应对措施[J]．电脑知识与技术．2008：36
第2篇
【关键词】风险；评估；企业；信息管理
1.企业信息安全评估的内容
企业在运行中会产生大量的运营数据，这些数据既有日常办公方面的数据，也有涉及企业生产和研发方面的数据。随着企业规模的扩大，对这些信息的管理大都是建立在一定的信息管理系统基础上的，如ERP资源管理系统、MES系统等。这些管理系统管理的内容包含了企业运行中的各类信息，就涉及到如何保障系统运行中信息安全的问题。不同的信息管理模式会伴随不同的信息泄露风险，因此需要对企业的信息管理风险程度进行评估，在此基础上寻找弥补信息安全隐患的策略。对企业信息安全的评估主要有以下几个方面的内容。
1.1 评估企业的管理制度
企业管理制度是企业有序运行的基础，企业的信息安全也和此密切相关。很多企业信息外泄的案例都和企业管理制度漏洞直接联系。因此在评估企业信息安全时企业的管理制度是必要的环节之一。在这个层面上评估企业信息安全主要是评估以下几类基本的管理制度。①企业信息系统的使用制度；②企业信息系统的维护制度；③企业信息系统操作人员培训制度；④系统设备和文件管理制度。
1.2 企业信息系统计算机安全评估
实践表明大量的企业信息外泄都和计算机系统的安全漏洞有关系，因此对企业信息系统的安全评估是必不可少的环节。这类问题的评估需要专业计算机人员来进行，弥补系统安全漏洞是保障企业信息安全的重要手段。定期或不定期的对企业信息系统的运行日志和统计资料进行检查是一种行之有效的方法。
2.企业信息安全风险定量评估方法
夜上海论坛 对上述几类评估内容的定量估计是衡量企业信息安全的量化手段，其衡量得出的数值就是企业信息安全的风险值或安全程度指标。企业信息安全的定量风险评估考虑因素主要有三个：资产价值、威胁和脆弱性。在定量评估中这三类因素都需要用定量数据采集的方式来进行合成计算，安全风险的数学表达式为：。其中为风险指标，表示企业资产指标，为代表威胁，为脆弱性指标。上述三类因素的基础数据都需要从实践中通过调研和测试来获得。
夜上海论坛 2.1 企业信息安全估价的描述方法
企业的资产既包括有形的资产，也包括无形的资源，表现形式也从机械设备到软件文档等多种多样。企业信息安全又有其特殊性。企业信息安全的安全属性估价需要从资产的保密性、完整性和可用性三个方面来展开评估。由于企业各类资产的形式各异，资产的安全级别无法用通用的量化标准来记性评估，因此采用的方法为定性的CIA模糊集合方式来描述，如“资产安全级别”=｛“很高”、“高”、“中等”、“低”、“较低”｝等模糊语言来描述，对应的论域为｛5、4、3、2、1｝。企业信息安全安全的保密性、完整性和可用性三个方面的属性都可以用上述模糊语言来定性描述，综合上述三类安全属性的公式为：。上式中分别为企业信息安全的保密性、完整性和可用性的赋值，取值为1,2…5，为综合评定指标。笔者这里提供一些评价指标的选取标准：
（1）信息保密性的评定标准
①很高：这类级别的企业信息包含企业的核心关键决策信息，信息泄漏将严重影响企业的利益；②高：这类级别的企业信息泄露会对到企业经济效益造成明显损害；③中等：企业的一般性的经营、决策信息，泄露对企业不利；④低：这类企业信息一般指企业内部部门的局部信息；⑤较低：企业可对外界公布的信息类型。
夜上海论坛 （2）信息完整性的评定标准
①很高：这类级别的企业信息包含企业的核心关键决策信息，其完整性直接决定企业的业务完整性，一旦缺失就无法弥补；②高：这类信息修改必须经过高层授权，一旦缺失将严重影响业务，一旦缺失弥补难度很大；③中等：企业的一般性的经营、决策信息，其修改需授权，缺失后可弥补；④低：这类企业信息一般指企业内部部门的局部信息，缺失后对企业运行影响较小，易于弥补；⑤较低：企业可对外界公布的信息类型，缺失后对企业运行无明显影响。
（3）信息可用性的评定标准
夜上海论坛 ①很高：这类信息具有最重要的实用性，企业的运作必须依照运行的信息类型；②高：这类信息的可用性价值较高，企业运作对其依赖性较高；③中等：这类信息属于可部分不可用的类型，部分不可用不影响企业的正常运作；④低：这类企业信息一般指企业内部部门的局部信息，信息不可用不会造成明显影响；⑤较低：这类信息使用性不高，信息不可用的影响可以忽略。
2.2 企业信息安全威胁程度的量化方法
夜上海论坛 企业信息安全的威胁通常定义为潜在的破坏性因素或突发事件。威胁是客观存在的，既可能来自于系统的用户（合法用户或非法入侵）操作，也可能来自于系统的物理组件的损坏。这两类威胁中最大也最常见的是系统用户在操作方面的失误、非法用户利用系统漏洞来窃取企业机密信息，以及计算机病毒对信息系统的侵袭等。但这些事件都不易量化，在做风险评估时需要依赖专家经验，对各种潜在的威胁因素给出一定的概率值，对各类威胁因素可按照和上节类似的方法，用形如：“威胁程度”=｛“很高”、“高”、“中等”、“低”、“较低”｝等模糊集合来表达，对应于相应的论域｛5、4、3、2、1｝。建议评定标准如下：①很高：风险事件发生的频率很高，或对企业信息安全具有明显的威胁，但又很难避免的情形；②高：风险事件发生的可能性较大或有发生先例；③中等：风险事件有可能发生，但尚未实际发生过的情形；④较低：风险事件发生的可能性较小，通常情况下不会发生；⑤很低：几乎不可能发生的风险事件类型；
夜上海论坛 2.3 信息系统脆弱性的量化方法
夜上海论坛 信息系统脆弱性的评估和系统面临的威胁是紧密相关的，所有的实际威胁都是利用系统安全的薄弱环节来发挥破坏性作用的，因此信息系统的脆弱性和威胁存点对点或单点对多点的关系。为便于计算，也采用和衡量系统威胁程度时相同的表示方法，“系统脆弱性”=｛“很高”、“高”、“中等”、“低”、“较低”｝，对应于相应的论域｛5、4、3、2、1｝。建议评定标准为：①很高：这类评定往往要基于企业信息系统存在明显而易于攻击的技术漏洞或者是管理规范上的缺陷，极易被非法使用的情形；②高：企业信息系统存在一定的技术漏洞或管理规范上的缺陷，容易被攻击和利用；③中等：企业信息系统存在不易被发现（下转第125页）（上接第121页）的技术漏洞，或必须经过人为非法操作才能被攻击的管理规范上的漏洞；④低：企业信息系统不存在明显的技术漏洞，或企业信息管理制度较为完善，不易被攻击利用；⑤较低：企业信息系统技术较为完善，管理制度也较为合理，被攻击点可能性很小。
2.4 信息安全的风险计算
夜上海论坛 按照风险的定义，风险包括风险事件发生的可能性和相应的后果。在企业信息系统中，各组成部分发生风险事件后的后果是不一样的，其严重程度也存在差异。因此在风险计算时需要明确两个方面的内容，一是风险的计算方式，二是对风险计算量化数值的评价。各因素风险值的计算按：来计算，即按资产价值、资产脆弱性和资产面临的威胁性的乘积来衡量某种信息资产的风险值。上述几类因素的取值按照评价论域中的取值来作为乘积因子。在计算出风险值之后，还需要建立起以风险值为基础的风险评价体系。
由前文的分析可见，风险的定量估计是一个由三类风险因素的线性乘积得出的。每一类信息的最高等级论域数值为5，最低为1，因此组合情况下风险值的最高值为125，最低值为1。由此可建立其与之对应的风险定量评价体系。笔者建议采用与之对应的5级评定方式：①很高：风险值估计范围在100～125之间，表明企业信息系统存在很高的安全风险，发生信息泄露的可能性非常高；②高：风险估计值在75～100之间，表明企业信息系统存在较大的安全风险，发生信息泄露的可能性较大；③中等：风险估计值在50～75之间，企业信息系统的安全风险一般，经过审查后能够避免风险事件；④低：风险估计值在25～50之间，企业信息系统发生信息泄露的可能性很小；⑤很低：风险估计值在0～25之间，企业信息系统比较安全，但需要定期维护。
3.结语
企业信息系统安全管理关系到企业的内部运营数据的安全，是需要引起高度重视的问题。本文将企业信息安全评估中几类常用的信息类型进行了风险量化评估，给出了以线性乘积为基础的风险量化方法，最后给出了分等级的企业信息安全综合评定。
参考文献
[1]沈昌样.关于强化信息安全保障体系的思考[J].信息安全与通信保密,2009,06.
夜上海论坛 [2]沈昌祥,马东平,等.信息安全工程学导论[M].电子工业出版社,2009,9.
第3篇
夜上海论坛 在“三个体系”建设工作中，档案安全体系是指档案安全保障各个构成要素有机的系统的相互联系、相辅相成的总体，由档案安全基础设施、技术支撑、组织管理、法规标准等若干部分组成。档案安全保障体系建设的任务非常繁重，涉及众多方面，而摆在我们面前的一个紧迫问题，显然涉及如何从理论和实践的角度把档案安全体系建设的各项任务落到实处。在今年中国档案学会相继召开的“三个体系建设高层论坛”和“2010中国档案工作者年会”上，笔者曾就此作过一些探讨，笔者以为，不妨把风险评估作为一个切入点和着力点，带动档案安全体系建设各项任务的全面落实。
夜上海论坛 档案安全风险评估机制的建立
应对危机、化解风险，首先要能够充分意识到危机和风险的存在。在档案安全体系建设过程中，引入风险评估机制，研究制定档案安全风险评估指标体系及其实施办法，并且抓紧开展相关试点，适时在全国各级档案部门全面推开，对于推动档案安全体系的科学健康构建无疑具有重要意义。
我国有句俗话，叫做“风起于青萍之末”，说的是凡事均有先兆。海恩法则认为：每一起严重事故的背后，必然有29次轻微事故和300起未遂先兆以及1000起事故隐患。人们对导致事故发生的隐患、征兆往往容易忽略，甚至发现后没有引起足够的重视，这是导致意想不到的安全事故发生的重要原因。
如何紧密跟踪初起之“风”，及时发现档案管理中可能存在的安全隐患呢?我们应当及早研究和建立档案安全风险评估机制，通过对档案安全状况开展风险评估，指导各单位立足于防患未然，采取更加具有针对性的安全防范措施，预防安全事故发生，并为处置安全事故提供科学依据。
一个档案部门如果发生安全事故，问题往往出在管理工作的某个薄弱环节。短板理论认为：“一只木桶可以装多少水，取决于木桶上最短的那块板。”也就是说，一只木桶再高再大，如果有一块板不够高，最终也只能由最短的那块板决定木桶装水的多少。也就是我们经常所说的主要矛盾，只有明白事务的薄弱环节，抓住问题的关键所在，抓住问题的主要矛盾，才能抓住解决问题的关键，以获得最大限度的成功。对档案馆可能存在的安全风险进行系统的、规范的、科学的评估，就是为了及时查找各个环节可能存在的漏洞或隐患，弄清楚本单位安全管理的“短板?所在，有针对性地及时把各种漏洞予以堵塞，把隐患消灭在萌芽状态。
有些短板，可能不是一大块，而只是一个小窄条，但其危害同样是致命的。因此，千万不要小看一些似乎不打紧的不安全因素。“千里之堤，溃于蚁穴”，以及著名的“蝴蝶效应”，说的都是这个道理。殊不知，“蝴蝶在热带轻轻扇动一下翅膀，遥远的国家就可能造成一场飓风。”指的是在一个动力系统中，初始条件下微小的变化能带动整个系统的长期的巨大的连锁反应。档案安全管理过程中存在的任何细微隐患，如果不加以及时察觉并及时消减，也有可能演变成大的漏洞，甚至直接导致灾难性后果。安全隐患，无论大小，必须一律加以解决，将其消灭在萌芽状态。
档案安全风险评估工作相关要求
所谓档案安全风险评估(RiskAssessment)，就是对档案实体和档案信息资源所面临的威胁及其可能造成的影响的可能性的评估。档案安全风险评估，是档案部门风险管理的基础，是确定档案安全需求的一个重要途径，属于档案安全保障体系策划的过程。
夜上海论坛 档案安全风险评估工作的目标是，通过档案安全风险评估结果，找出档案安全管理中的薄弱环节，以此为基础，及时采取必要措施，并对各种要素加以调节，以便最大可能地规避和降低风险，使档案尽可能地保持稳定状态，而对已经处于不安全或不稳定状态下的档案使之达到新的稳定状态。
夜上海论坛 档案安全风险评估工作的主要任务包括：识别档案面临的各种风险；评估风险概率和可能带来的不利影响；确定风险控制和消减的优先等级；提出和推荐风险防控与消减对策；等等。
夜上海论坛 识别档案面临的各种风险，了解档案安全威胁源。近些年来，我国一些档案部门遭受了地震、洪水、泥石流等自然灾害的直接破坏，一些档案部门经受了的冲击，一些档案部门暴露了基础设施不完善、管理制度不健全、安防手段不得力等管理上的漏洞也承受了相应的后果。2009年3月德国科隆市档案馆坍塌，源于城市建设中的地铁施工；2005年11月民族文化宫图书和经卷被水浸泡，源于基础设施老化失修导致的水管爆裂。可见，很多因素都有可能对档案安全带来直接或间接的风险而构成档案安全的威胁源。
夜上海论坛 评估风险概率和可能带来的不利影响。在档案部门可能遇到的安全风险中，有一些属于系统性的风险，而另一些属于偶然性的风险。有一些属于地域性的风险，如沿海地区可能遇到的台风影响；还有一些属于周期性的风险，如长年发生在我国南方一些地区的洪涝灾害风险等。要根据不同风险的类型和特点，确定风险控制和消减的优先等级和措施强度，并提出和推荐相应的风险防控与消减对策。
总之，在档案安全风险评估过程中，需要注意确定所保管档案的内在价值；要梳理档案面临的潜在威胁源有哪些，导致威胁的问题所在，威胁发生的可能性有多大；现有保管条件环境存在哪些弱点而可能易于遭受威胁攻击，程度如何；一旦威胁事件发生，档案会遭受怎样的损失，或者面临怎样的不利影响等。
档案安全风险评估的方法有基线评估法、详细评估法、组合评估法等。在档案安全风险评估的实际工作中，我们可以采用通常使用的一种比较简单的评估，方法，即基线评估法。采用基线风险评估(Baseline Rrisk Assessment)，档案馆可以根据自己的实际情况，对档案保管系统进行安全基线检查，(即拿现有的安全措施与安全基线规定的措施进行比较，找出其中的差距)，得出基本的安全需求，通过选择并实施标准的安全措施来消减和控制风险。所谓安全基线，就是在诸多标准规范中规定的一组安全控制措施或者惯例，这些措施和惯例适用于特定环境下的所有系统，可以满足基本的安全需求，能使系统达到一定的安全防护水平。
档案安全风险评估指标体系构建
档案安全基线评估途径的采用，关键在于安全基线的选择，也就是有必要
建立一个系统的、可操作性较强的档案安全要求指标体系。档案安全风险评估指标体系基本框架的搭建，要统筹考虑档案实体安全、信息安全等各个方面。
夜上海论坛 近年来，国家档案行政管理部门对各省级国家档案馆和中央国家机关档案部门开展了档案安全专项督察工作，重点检查相关部门档案安全基础设施是否完备，档案安全防护设施是否齐全，档案安全规章制度是否健全，档案安全日常管理是否到位。尽管该项工作还仅仅是初步的、定性的、粗放的，但无疑是档案安全风险评估工作的滥觞，是一项有益的探索。我们现在的任务是，怎样把这项工作做得更加定量化、更加精细化、更加科学化、更加规范化。这就需要在调查研究的基础上建立一套系统全面、导向明确、易于评估、具有可操作性的要求、规范和约束性指标，作为我们开展档案安全风险评估的基线。档案安全基线风险评估，需要的资源少，周期短，操作简单，可以直接而简单地实现基本的安全水平，并且满足档案馆履行功能的基本要求。
在制定档案安全基线相关要求时，要重点关注档案安全管理的环境条件、规章制度、安全措施、应急和抢救机制、日常管理等主要方面。既要关注与档案实体安全直接相关的要求，也要关注与档案信息安全保密密切相关的规范。要通过对潜在的各种安全威胁源的精心梳理和相关需求分析，抓住关键和重点，不能“披头散发”，无所不包。与此同时，要遴选和锁定一些必要的刚性指标，如防火等级，抗震等级，温湿度范围，照度，空气质量，容灾等级，等等，便于规范掌握和量化操作。
事实上，选择安全基线可依据和利用的资源非常丰富，如《档案法》及其实施办法，保密法等。在档案实体安全方面，有诸如《档案馆建筑设计规范》、《档案馆建设标准》、《档案库房技术管理暂行规定》、《档案馆防治灾害工作指南》，等等。在档案信息安全方面，比如《电子信息系统机房设计规范》、《计算机信息系统安全保护等级划分准则》、《信息安全应急响应计划规范》、《信息安全风险管理指南》、《终端计算机系统安全等级技术要求》、《基于互联网电子政务信息安全实施指南》，等等。
