風險評估的案例范文
前言：我們精心挑選了數篇優質風險評估的案例文章，供您閱讀參考。期待這些文章能為您帶來啟發，助您在寫作的道路上更上一層樓。
第1篇
【關鍵詞】信息系統；安全；風險評估；管理
一、信息系統安全
何謂信息系統，依據美國國家信息系統安全詞匯表的定義，信息系統是指用于收集、處理、存儲、傳輸、顯示、傳播和清除信息的所有設施、組織、人員等部件的總和。在這個定義中，我們不難看出，信息系統應該是一種結合了人力因素、硬件設備、軟件系統等多方面元素的一種集合。信息系統的安全，主要就是圍繞著信息系統的功能，即數據的處理、存儲、傳輸等內容來展開。當前信息系統存在的安全隱患就是數據被篡改、被竊取、系統運行被破壞這幾種情形。信息系統的安全以數據為核心，但是其內容又并不局限于數據，理論上信息系統的安全包括四個方面的內容，即實體安全、運行安全、數據安全和管理安全四個方面。這其中的每一個方面對信息系統的安全評價角度都是不同的，不同角度的安全評價決定了我們在對信息系統進行風險評估時所選取的方式和角度也必然是不同的。
二、信息系統風險評估方法
根據信息系統的構建和組成，我們對信息系統的風險評估主要采用以下幾種方法：（1）事件樹分析：這是一種利用邏輯進行演繹推理的方法，它的作用發揮方式是以某一個給定的事件為依據。根據這個事件展開分析，尋找出可能出現的各種具有影響力的后果，通過多角度、多層面的推理演繹，實習對風險的預估。（2）層次分析法：是一種多指標綜合評價方法。這種評價方法的關鍵在于尋找不同因素直接存在的聯系，這種聯系可能表現為相互制約，也可能表現為一種形態上的隸屬關系。無論是那一種關系，都需要按照一定的標準，采用數學方法對不同的因素進行層次上的排序。然后根據排序的結果來對風險進行預估。（3）BP神經網絡：是一種按誤差逆向傳播算法訓練的多層前饋網絡，具有自學習能力，能夠實現輸入和輸出之間的復雜非線性關信息系統的風險管理系。缺點是風險因素的權值確定較難，優點是有自學能力，問題抽象化，適用于事故預測和方案擇優。（4）故障樹分析：這是一種較為形象的風險預測方法，即首先對具有潛在危險的各種因素進行初始的分析，根據這些因素繪畫出故障樹，利用故障樹來發現不同因素之間存在的復雜聯系，找出事件發生之間的聯系。（5）風險評審技術方法：通過模擬實際系統研制時間、費用及性能分布，針對不同條件對信息系統的風險進行預測，需多次訪問，數據準確性要求高。
三、信息系統的風險管理
無論是對信息系統安全還是風險評估方法，我們的目的都是希望其最終能夠服務于信息系統的風險管理工作。信息系統的風險管理，我們從以下幾個方面來進行分析：第一，信息系統的動態風險態勢評估。信息系統的風險管理，是一項動靜結合的工作。由于當前網絡環境是處于不斷運動的狀態，所以動態管理對信息系統的風險管理具有重要的意義。信息系統面臨的風險雖然具有突發性，但是我們通過對某一段時間的態勢值比較分析能夠做出一定的判斷，當一段時間內的態勢值與正常范圍內的態勢值有差異的時候，我們應該加強系統信息的風險預警。通過這種動態的評估，管理人員能夠在數據參考的基礎上做出一些應對。第二，ART-BP神經網絡的模糊專家系統風險管理。隨著計算機技術和網絡信息技術的進一步普及，信息系統在未來仍然會以規模化的趨勢覆蓋我們的日常生活，信息系統對人類生活產生的重要影響將越來越突出，風險管理的水平必須進一步提升和加強。ART-BP神經網絡的基本工作原理是：網絡接收外面環境的輸入狀況，對網絡已經存儲的模式和新來的網絡樣本進行比較和權衡，通過一定的程序對二者的相似度進行計算，利用閾值檢查已有的網絡存儲模式和輸入的樣本，并且對連接權重進行調整，實現最大的相似度。第三，加強風險管理中的人力因素管理。信息系統是由人力、硬軟件設備共同發揮作用而組成的一個管理系統。信息系統各種不安全因素的出現，最大的始作俑者也是人類，人力因素在整個信息系統的安全管理中有著重要的作用。信息系統的風險管理，必須加強對人力因素的控制和管理，人力因素在整個系統風險管理中作用的發揮的是首要的。加強人力因素的管理，首先我們要提高從業人員的素質，這種素質不僅僅是專業的信息技術素質，而且包括一個人的品行、工作態度等多方面素質的綜合。其次加強那個人力因素管理，還應該通過制度來予以明確的規定，用明文的制度來規范具體的操作行為和操作流程，加強風險預警意識的培養，是實現風險管理的另一個重要途徑。
參考文獻
[1]劉翠翠，王云．淺析網絡信息安全挑戰及其應對措施[J]．電腦知識與技術．2008：36
第2篇
【關鍵詞】風險；評估；企業；信息管理
1.企業信息安全評估的內容
企業在運行中會產生大量的運營數據，這些數據既有日常辦公方面的數據，也有涉及企業生產和研發方面的數據。隨著企業規模的擴大，對這些信息的管理大都是建立在一定的信息管理系統基礎上的，如ERP資源管理系統、MES系統等。這些管理系統管理的內容包含了企業運行中的各類信息，就涉及到如何保障系統運行中信息安全的問題。不同的信息管理模式會伴隨不同的信息泄露風險，因此需要對企業的信息管理風險程度進行評估，在此基礎上尋找彌補信息安全隱患的策略。對企業信息安全的評估主要有以下幾個方面的內容。
1.1 評估企業的管理制度
企業管理制度是企業有序運行的基礎，企業的信息安全也和此密切相關。很多企業信息外泄的案例都和企業管理制度漏洞直接聯系。因此在評估企業信息安全時企業的管理制度是必要的環節之一。在這個層面上評估企業信息安全主要是評估以下幾類基本的管理制度。①企業信息系統的使用制度；②企業信息系統的維護制度；③企業信息系統操作人員培訓制度；④系統設備和文件管理制度。
1.2 企業信息系統計算機安全評估
實踐表明大量的企業信息外泄都和計算機系統的安全漏洞有關系，因此對企業信息系統的安全評估是必不可少的環節。這類問題的評估需要專業計算機人員來進行，彌補系統安全漏洞是保障企業信息安全的重要手段。定期或不定期的對企業信息系統的運行日志和統計資料進行檢查是一種行之有效的方法。
2.企業信息安全風險定量評估方法
對上述幾類評估內容的定量估計是衡量企業信息安全的量化手段，其衡量得出的數值就是企業信息安全的風險值或安全程度指標。企業信息安全的定量風險評估考慮因素主要有三個：資產價值、威脅和脆弱性。在定量評估中這三類因素都需要用定量數據采集的方式來進行合成計算，安全風險的數學表達式為：。其中為風險指標，表示企業資產指標，為代表威脅，為脆弱性指標。上述三類因素的基礎數據都需要從實踐中通過調研和測試來獲得。
2.1 企業信息安全估價的描述方法
企業的資產既包括有形的資產，也包括無形的資源，表現形式也從機械設備到軟件文檔等多種多樣。企業信息安全又有其特殊性。企業信息安全的安全屬性估價需要從資產的保密性、完整性和可用性三個方面來展開評估。由于企業各類資產的形式各異，資產的安全級別無法用通用的量化標準來記性評估，因此采用的方法為定性的CIA模糊集合方式來描述，如“資產安全級別”=｛“很高”、“高”、“中等”、“低”、“較低”｝等模糊語言來描述，對應的論域為｛5、4、3、2、1｝。企業信息安全安全的保密性、完整性和可用性三個方面的屬性都可以用上述模糊語言來定性描述，綜合上述三類安全屬性的公式為：。上式中分別為企業信息安全的保密性、完整性和可用性的賦值，取值為1,2…5，為綜合評定指標。筆者這里提供一些評價指標的選取標準：
（1）信息保密性的評定標準
①很高：這類級別的企業信息包含企業的核心關鍵決策信息，信息泄漏將嚴重影響企業的利益；②高：這類級別的企業信息泄露會對到企業經濟效益造成明顯損害；③中等：企業的一般性的經營、決策信息，泄露對企業不利；④低：這類企業信息一般指企業內部部門的局部信息；⑤較低：企業可對外界公布的信息類型。
（2）信息完整性的評定標準
①很高：這類級別的企業信息包含企業的核心關鍵決策信息，其完整性直接決定企業的業務完整性，一旦缺失就無法彌補；②高：這類信息修改必須經過高層授權，一旦缺失將嚴重影響業務，一旦缺失彌補難度很大；③中等：企業的一般性的經營、決策信息，其修改需授權，缺失后可彌補；④低：這類企業信息一般指企業內部部門的局部信息，缺失后對企業運行影響較小，易于彌補；⑤較低：企業可對外界公布的信息類型，缺失后對企業運行無明顯影響。
（3）信息可用性的評定標準
①很高：這類信息具有最重要的實用性，企業的運作必須依照運行的信息類型；②高：這類信息的可用性價值較高，企業運作對其依賴性較高；③中等：這類信息屬于可部分不可用的類型，部分不可用不影響企業的正常運作；④低：這類企業信息一般指企業內部部門的局部信息，信息不可用不會造成明顯影響；⑤較低：這類信息使用性不高，信息不可用的影響可以忽略。
2.2 企業信息安全威脅程度的量化方法
企業信息安全的威脅通常定義為潛在的破壞性因素或突發事件。威脅是客觀存在的，既可能來自于系統的用戶（合法用戶或非法入侵）操作，也可能來自于系統的物理組件的損壞。這兩類威脅中最大也最常見的是系統用戶在操作方面的失誤、非法用戶利用系統漏洞來竊取企業機密信息，以及計算機病毒對信息系統的侵襲等。但這些事件都不易量化，在做風險評估時需要依賴專家經驗，對各種潛在的威脅因素給出一定的概率值，對各類威脅因素可按照和上節類似的方法，用形如：“威脅程度”=｛“很高”、“高”、“中等”、“低”、“較低”｝等模糊集合來表達，對應于相應的論域｛5、4、3、2、1｝。建議評定標準如下：①很高：風險事件發生的頻率很高，或對企業信息安全具有明顯的威脅，但又很難避免的情形；②高：風險事件發生的可能性較大或有發生先例；③中等：風險事件有可能發生，但尚未實際發生過的情形；④較低：風險事件發生的可能性較小，通常情況下不會發生；⑤很低：幾乎不可能發生的風險事件類型；
2.3 信息系統脆弱性的量化方法
信息系統脆弱性的評估和系統面臨的威脅是緊密相關的，所有的實際威脅都是利用系統安全的薄弱環節來發揮破壞性作用的，因此信息系統的脆弱性和威脅存點對點或單點對多點的關系。為便于計算，也采用和衡量系統威脅程度時相同的表示方法，“系統脆弱性”=｛“很高”、“高”、“中等”、“低”、“較低”｝，對應于相應的論域｛5、4、3、2、1｝。建議評定標準為：①很高：這類評定往往要基于企業信息系統存在明顯而易于攻擊的技術漏洞或者是管理規范上的缺陷，極易被非法使用的情形；②高：企業信息系統存在一定的技術漏洞或管理規范上的缺陷，容易被攻擊和利用；③中等：企業信息系統存在不易被發現（下轉第125頁）（上接第121頁）的技術漏洞，或必須經過人為非法操作才能被攻擊的管理規范上的漏洞；④低：企業信息系統不存在明顯的技術漏洞，或企業信息管理制度較為完善，不易被攻擊利用；⑤較低：企業信息系統技術較為完善，管理制度也較為合理，被攻擊點可能性很小。
2.4 信息安全的風險計算
按照風險的定義，風險包括風險事件發生的可能性和相應的后果。在企業信息系統中，各組成部分發生風險事件后的后果是不一樣的，其嚴重程度也存在差異。因此在風險計算時需要明確兩個方面的內容，一是風險的計算方式，二是對風險計算量化數值的評價。各因素風險值的計算按：來計算，即按資產價值、資產脆弱性和資產面臨的威脅性的乘積來衡量某種信息資產的風險值。上述幾類因素的取值按照評價論域中的取值來作為乘積因子。在計算出風險值之后，還需要建立起以風險值為基礎的風險評價體系。
由前文的分析可見，風險的定量估計是一個由三類風險因素的線性乘積得出的。每一類信息的最高等級論域數值為5，最低為1，因此組合情況下風險值的最高值為125，最低值為1。由此可建立其與之對應的風險定量評價體系。筆者建議采用與之對應的5級評定方式：①很高：風險值估計范圍在100～125之間，表明企業信息系統存在很高的安全風險，發生信息泄露的可能性非常高；②高：風險估計值在75～100之間，表明企業信息系統存在較大的安全風險，發生信息泄露的可能性較大；③中等：風險估計值在50～75之間，企業信息系統的安全風險一般，經過審查后能夠避免風險事件；④低：風險估計值在25～50之間，企業信息系統發生信息泄露的可能性很小；⑤很低：風險估計值在0～25之間，企業信息系統比較安全，但需要定期維護。
3.結語
企業信息系統安全管理關系到企業的內部運營數據的安全，是需要引起高度重視的問題。本文將企業信息安全評估中幾類常用的信息類型進行了風險量化評估，給出了以線性乘積為基礎的風險量化方法，最后給出了分等級的企業信息安全綜合評定。
參考文獻
[1]沈昌樣.關于強化信息安全保障體系的思考[J].信息安全與通信保密,2009,06.
[2]沈昌祥,馬東平,等.信息安全工程學導論[M].電子工業出版社,2009,9.
第3篇
在“三個體系”建設工作中，檔案安全體系是指檔案安全保障各個構成要素有機的系統的相互聯系、相輔相成的總體，由檔案安全基礎設施、技術支撐、組織管理、法規標準等若干部分組成。檔案安全保障體系建設的任務非常繁重，涉及眾多方面，而擺在我們面前的一個緊迫問題，顯然涉及如何從理論和實踐的角度把檔案安全體系建設的各項任務落到實處。在今年中國檔案學會相繼召開的“三個體系建設高層論壇”和“2010中國檔案工作者年會”上，筆者曾就此作過一些探討，筆者以為，不妨把風險評估作為一個切入點和著力點，帶動檔案安全體系建設各項任務的全面落實。
檔案安全風險評估機制的建立
應對危機、化解風險，首先要能夠充分意識到危機和風險的存在。在檔案安全體系建設過程中，引入風險評估機制，研究制定檔案安全風險評估指標體系及其實施辦法，并且抓緊開展相關試點，適時在全國各級檔案部門全面推開，對于推動檔案安全體系的科學健康構建無疑具有重要意義。
我國有句俗話，叫做“風起于青萍之末”，說的是凡事均有先兆。海恩法則認為：每一起嚴重事故的背后，必然有29次輕微事故和300起未遂先兆以及1000起事故隱患。人們對導致事故發生的隱患、征兆往往容易忽略，甚至發現后沒有引起足夠的重視，這是導致意想不到的安全事故發生的重要原因。
如何緊密跟蹤初起之“風”，及時發現檔案管理中可能存在的安全隱患呢?我們應當及早研究和建立檔案安全風險評估機制，通過對檔案安全狀況開展風險評估，指導各單位立足于防患未然，采取更加具有針對性的安全防范措施，預防安全事故發生，并為處置安全事故提供科學依據。
一個檔案部門如果發生安全事故，問題往往出在管理工作的某個薄弱環節。短板理論認為：“一只木桶可以裝多少水，取決于木桶上最短的那塊板。”也就是說，一只木桶再高再大，如果有一塊板不夠高，最終也只能由最短的那塊板決定木桶裝水的多少。也就是我們經常所說的主要矛盾，只有明白事務的薄弱環節，抓住問題的關鍵所在，抓住問題的主要矛盾，才能抓住解決問題的關鍵，以獲得最大限度的成功。對檔案館可能存在的安全風險進行系統的、規范的、科學的評估，就是為了及時查找各個環節可能存在的漏洞或隱患，弄清楚本單位安全管理的“短板?所在，有針對性地及時把各種漏洞予以堵塞，把隱患消滅在萌芽狀態。
有些短板，可能不是一大塊，而只是一個小窄條，但其危害同樣是致命的。因此，千萬不要小看一些似乎不打緊的不安全因素。“千里之堤，潰于蟻穴”，以及著名的“蝴蝶效應”，說的都是這個道理。殊不知，“蝴蝶在熱帶輕輕扇動一下翅膀，遙遠的國家就可能造成一場颶風。”指的是在一個動力系統中，初始條件下微小的變化能帶動整個系統的長期的巨大的連鎖反應。檔案安全管理過程中存在的任何細微隱患，如果不加以及時察覺并及時消減，也有可能演變成大的漏洞，甚至直接導致災難性后果。安全隱患，無論大小，必須一律加以解決，將其消滅在萌芽狀態。
檔案安全風險評估工作相關要求
所謂檔案安全風險評估(RiskAssessment)，就是對檔案實體和檔案信息資源所面臨的威脅及其可能造成的影響的可能性的評估。檔案安全風險評估，是檔案部門風險管理的基礎，是確定檔案安全需求的一個重要途徑，屬于檔案安全保障體系策劃的過程。
檔案安全風險評估工作的目標是，通過檔案安全風險評估結果，找出檔案安全管理中的薄弱環節，以此為基礎，及時采取必要措施，并對各種要素加以調節，以便最大可能地規避和降低風險，使檔案盡可能地保持穩定狀態，而對已經處于不安全或不穩定狀態下的檔案使之達到新的穩定狀態。
檔案安全風險評估工作的主要任務包括：識別檔案面臨的各種風險；評估風險概率和可能帶來的不利影響；確定風險控制和消減的優先等級；提出和推薦風險防控與消減對策；等等。
識別檔案面臨的各種風險，了解檔案安全威脅源。近些年來，我國一些檔案部門遭受了地震、洪水、泥石流等自然災害的直接破壞，一些檔案部門經受了的沖擊，一些檔案部門暴露了基礎設施不完善、管理制度不健全、安防手段不得力等管理上的漏洞也承受了相應的后果。2009年3月德國科隆市檔案館坍塌，源于城市建設中的地鐵施工；2005年11月民族文化宮圖書和經卷被水浸泡，源于基礎設施老化失修導致的水管爆裂。可見，很多因素都有可能對檔案安全帶來直接或間接的風險而構成檔案安全的威脅源。
評估風險概率和可能帶來的不利影響。在檔案部門可能遇到的安全風險中，有一些屬于系統性的風險，而另一些屬于偶然性的風險。有一些屬于地域性的風險，如沿海地區可能遇到的臺風影響；還有一些屬于周期性的風險，如長年發生在我國南方一些地區的洪澇災害風險等。要根據不同風險的類型和特點，確定風險控制和消減的優先等級和措施強度，并提出和推薦相應的風險防控與消減對策。
總之，在檔案安全風險評估過程中，需要注意確定所保管檔案的內在價值；要梳理檔案面臨的潛在威脅源有哪些，導致威脅的問題所在，威脅發生的可能性有多大；現有保管條件環境存在哪些弱點而可能易于遭受威脅攻擊，程度如何；一旦威脅事件發生，檔案會遭受怎樣的損失，或者面臨怎樣的不利影響等。
檔案安全風險評估的方法有基線評估法、詳細評估法、組合評估法等。在檔案安全風險評估的實際工作中，我們可以采用通常使用的一種比較簡單的評估，方法，即基線評估法。采用基線風險評估(Baseline Rrisk Assessment)，檔案館可以根據自己的實際情況，對檔案保管系統進行安全基線檢查，(即拿現有的安全措施與安全基線規定的措施進行比較，找出其中的差距)，得出基本的安全需求，通過選擇并實施標準的安全措施來消減和控制風險。所謂安全基線，就是在諸多標準規范中規定的一組安全控制措施或者慣例，這些措施和慣例適用于特定環境下的所有系統，可以滿足基本的安全需求，能使系統達到一定的安全防護水平。
檔案安全風險評估指標體系構建
檔案安全基線評估途徑的采用，關鍵在于安全基線的選擇，也就是有必要
建立一個系統的、可操作性較強的檔案安全要求指標體系。檔案安全風險評估指標體系基本框架的搭建，要統籌考慮檔案實體安全、信息安全等各個方面。
近年來，國家檔案行政管理部門對各省級國家檔案館和中央國家機關檔案部門開展了檔案安全專項督察工作，重點檢查相關部門檔案安全基礎設施是否完備，檔案安全防護設施是否齊全，檔案安全規章制度是否健全，檔案安全日常管理是否到位。盡管該項工作還僅僅是初步的、定性的、粗放的，但無疑是檔案安全風險評估工作的濫觴，是一項有益的探索。我們現在的任務是，怎樣把這項工作做得更加定量化、更加精細化、更加科學化、更加規范化。這就需要在調查研究的基礎上建立一套系統全面、導向明確、易于評估、具有可操作性的要求、規范和約束性指標，作為我們開展檔案安全風險評估的基線。檔案安全基線風險評估，需要的資源少，周期短，操作簡單，可以直接而簡單地實現基本的安全水平，并且滿足檔案館履行功能的基本要求。
在制定檔案安全基線相關要求時，要重點關注檔案安全管理的環境條件、規章制度、安全措施、應急和搶救機制、日常管理等主要方面。既要關注與檔案實體安全直接相關的要求，也要關注與檔案信息安全保密密切相關的規范。要通過對潛在的各種安全威脅源的精心梳理和相關需求分析，抓住關鍵和重點，不能“披頭散發”，無所不包。與此同時，要遴選和鎖定一些必要的剛性指標，如防火等級，抗震等級，溫濕度范圍，照度，空氣質量，容災等級，等等，便于規范掌握和量化操作。
事實上，選擇安全基線可依據和利用的資源非常豐富，如《檔案法》及其實施辦法，保密法等。在檔案實體安全方面，有諸如《檔案館建筑設計規范》、《檔案館建設標準》、《檔案庫房技術管理暫行規定》、《檔案館防治災害工作指南》，等等。在檔案信息安全方面，比如《電子信息系統機房設計規范》、《計算機信息系統安全保護等級劃分準則》、《信息安全應急響應計劃規范》、《信息安全風險管理指南》、《終端計算機系統安全等級技術要求》、《基于互聯網電子政務信息安全實施指南》，等等。
