在对信息系统进行风险评估时，首先要对信息系统的风险进行分析。在对信息安全风险进行分析时，需要考虑资产、威胁、脆弱性和已有安全措施四个根本因素（如图8-3所示）。
图8-3 风险评估组成要素模型
1.信息资产评估
信息资产的评估由两部分组成，即识别信息资产和对资产的价值进行估算。识别信息资产是在对信息系统和所涉及的物理资产、软件资产和数据资产等进行识别的基础上，给出清单。对资产价值的估算，即对所涉及的信息资产的价值进行估计，这里主要是考虑资产的重要性，而资产的账面价值显得并不那么重要。在信息资产的评估中，要特别关注关键资产。关键资产是资产中对系统影响最大的资产。信息系统的关键资产拥有统一的信息平台、综合决策指挥系统、信息数据库、网络基础设施及网络安全设施、人等。在资产中，主要集中在保密性、完整性和可用性三部分。
2.威胁评估
威胁源自人们故意、偶然事件或系统攻击。威胁是给组织或资产的信息安全造成损害的一种潜在可能性。对信息资产可能受到的危害进行的评估称为威胁评估。因为每一项资产很有可能同时面临多种威胁，并且每种威胁利用了资产自身的脆弱性从而发挥不利的影响。而造成信息安全威胁的，不但有环境因素，还有人为因素。因此，需要对每项资产都做威胁识别，特别是针对关键资产。
3.脆弱性评估
脆弱性评估，就是通过各种测试方法最终得到信息资产中的弱点和不足，是信息系统风险评估中最重要的部分。资产的脆弱性由技术脆弱性和管理脆弱性两部分组成。即使在建设信息系统时，采取了相当好的安全功能和保证措施，也不能说明信息系统中的信息安全不存在脆弱点。这些弱点和不足的存在，很有可能导致信息资产的泄密、非法访问、不能使用或失控的现象。只有当进行脆弱性评估时，才可以有效地降低脆弱性和提高抗攻击能力。通过脆弱性评价主要是为了识别和分析信息系统的脆弱性，从而发现信息系统中比较弱的环节，以便为制订安全策略和采取控制措施提供理论依据。
4.安全措施
信息系统的安全建立在对风险的规避上，需要采取一定的安全措施来保证信息的安全。安全措施是用来减少风险的控制或对策，这些风险同特定的威胁或者一组威胁相关。只有在全面、正确地认识风险后，才能做出正确的判断，以便在控制风险和降低风险之间进行权衡。同时，通过安全措施对资产进行保护和对脆弱性进行弥补，从而达到降低风险的效果。安全措施由预防性的安全措施和保护性的安全措施两个方面组成。预防性的安全措施，可以用来减少漏洞和可能发生的威胁；保护性的安全措施能够降低因威胁而造成的影响（如图8-4所示）。
图8-4 风险评估组成要素评价指标
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
