安全风险评估
前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇安全风险评估范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。
安全风险评估范文第1篇
随着城市化进程的逐渐加快，电梯的使用数量逐渐增多。在现代化的城市建设中，电梯的使用为人们的日常工作和生活提供了极大的便利。而随着电梯使用年限的增长，老旧电梯中经常会在使用中出现一些故障，甚至会由于管理和维护不当而产生安全事故，为人们的生活和安全产生了较大的影响。在电梯业界中，老旧电梯的使用安全成为了主要的问题，如何及时地发现其中存在的风险并进行解决已经成了安装企业的重要任务之一。针对电梯的使用进行风险管理就是指企业为实现一定的目标进行管理，保证公共利益和人身使用安全。
1.电梯安全风险评估概述
电梯安全风险评估是指采用定性的方法对电梯中存在的危险因素进行有效的识别、判断和及时的评价。在进行电梯安全风险评估时，主要针对电梯在使用中的安全系数和可靠度为主要对象，综合采用红外线热像仪、故障诊断检测仪灯对电梯使用中的控制和驱动系统进行监测和危险因素的有效识别，采用综合的评价方式进行安全风险的确定。在进行危险因素的确定时主要采用定期的检测和监控技术进行分析，对其中存在的风险源以及其产生的部位、产生的数量和严重程度进行有效的评估，同时采用相应的措施进行治理，减少其危险因素对于正常使用的影响。对老旧电梯进行及时的安全风险评估能够有效消除安全隐患，减少安全事故的产生，加大对于老旧电梯使用的监督和管理，实现节能减耗的目的。
在进行电梯安全风险评估的过程中主要包括以下几个环节：
1.1.准备阶段
在此阶段中需要针对电梯的损坏程度和各个零部件的老化程度进行准确的评估，制定出相应的评估措施，明确评估目的 ，对于电梯使用中的故障记录和维修记录进行收集，为维修和检测提供有效的参考依据。
1.2.风险种类的判断和风险源的确定
针对要进行评估的电梯系统的整体情况确定出各个不同的评估单元，找出电梯中存在的风险源，对电梯中易产生老化和损坏的部件进行检测，排除其中存在的危险因素。在进行判断的过程中要积极借助先进的检测仪器确定存在风险的部位，事故产生的原因和事故存在的规律。
1.3.针对存在的风险进行定性和定量评估
在进行电梯的有害因素的确定后，采用正确的评判的方法ui零部件的损坏和产生事故的可能性进行定性和定量的评估。
1.4.提出相对应的安全措施
在进行安全结果的判定后要根据产生的危险因素提出相应的改进技术和管理措施，建立起完善的应急方案，降低在事故发生后造成的损失。
1.5.形成正确的评估结果和评估建议
针对电梯中存在的主要危险因素进行有效的分析和指出，并强调重大的危险因素，针对电梯中不同的部位制定相应的预防措施。
1.6.生成评估报告
在进行风险评估后要生成相关的评估报告，为电梯的使用单位和管理单位提供方风险治理对策和参考。
2.老旧电梯安全风险评估的作用
对老旧电梯部件和使用过程中的安全等级进行准确地判断，采用相应的措施进行有效的防治能够显著降低使用中的安全风险。
2.1.有效提高老旧电梯的使用安全性和节能性
针对老旧电梯进行安全风险评估，需要使用先进的技术，采取相应的有效措施，降低使用中的安全风险，提高电梯的安全使用性能，进一步降低老旧电梯在使用的能耗，具有较强的社会效益和经济效益。在老旧式电梯中采用的控制技术较为落后，因此可以将老旧电梯进行集中的梯群的控制方式，也可以使用单双层的控制方式，能够有效降低电梯在使用中产生的能耗。在电梯的拖动方式中可以使用变片调速式改造，将减速装置转变为同步曳引机方式，采用这种方法能够有效降低电梯在使用中产生的能耗。
2.2.协调使用老旧电梯
在进行老旧电梯的安全风险评估后，能够为电梯的进一步改造和维修提供可靠的意见。在进行电梯的维修和改造的过程中由于具有较强的专业性，因此就需要采用专业的技术，这样就容易造成维修单位和管理单位之间产生不必要的经济纠纷。在对老旧电梯进行风险评估后能够出具相关的评估报告，较具有权威性，为电梯的使用和维修提供可靠的依据，减少各方之间矛盾的产生。
2.3.有效弥补现行的安全技术和规范中存在的不足
针对老旧电梯进行有效的风险评估能够有效确定电梯使用中产生的不确定危险因素，同时做出风险等级的判断，采取相应的措施进行治理和防护，对电梯的安全使用进行有效监督采取预防为主的措施，提高电梯的安全使用性能。为老旧电梯的报废提供可靠的技术支持，提高电梯的使用安全性。
3.老旧电梯安全风险评估和防治
3.1.安全风险识别
电梯企业在发展的过程中，要加强对于电梯安全使用的重视程度，加强使用中的风险评估和风险管理，对于其中存在的风险因素进行及时的确定，同时制定出相应的风险报告，制定严格的风险防范措施，降低风险造成的损失。随着电梯使用数量的逐渐增加，电梯的使用安全也成了备受关注的问题之一，尤其是随着电梯使用安全事故的不断出现，要求在电梯的设计、安装和使用过程中提高风险意识，减少安全事故的产生。
安全风险评估范文第2篇
关键词：政府网络安全；网络安全；风险评估；应用模型；电子政务
中图分类号：TP393.08
在新的发展环境下，开放和互联的网络时代给各种信息资源的流通带来了便利的同时，也带来了安全隐患。尤其是政府部门的电子政务信息资产，若是受到非法使用，不但会对政府部门造成资源损失，甚至会威胁到国家、单位部门和个人的安全。因此，对政府网络系统进行安全风险评估，不但能够有效地预防和解决潜在的威胁，而且能够保障整个政府网络系统的安全，促进政府网络建设的发展。
1 政府网络安全风险评估的方法
在电子政务信息系统的建设和运行过程中，需要进行网络安全防御的相关措施，以防止系统中存在的漏洞、隐患，以及人为或非人为因素引起的风险对系统的影响。因此，采取安全风险评估的方法，通过安全风险评估的相关技术的支持，对系统的设备及数据进行分析、确定等级和检查，是有效防范这些情况发生的重要措施。
政府网络安全风险评估的方法主要有安全风险分析、安全等级评估和安全检查评估等三种。
1.1 安全风险分析。在进行政府网络安全风险评估的前期工作中，主要是通过建立评估数据模型的方式进行安全风险分析。其中，主要是根据概率分布、外推法、矩阵图分析、风险发展趋势评价方法、假设前提评价及数据准确度评估等方法，并通过专家评估预测和相关历史数据对指标的选取和数据的采集，估算政府网络安全系统所存在的风险。
1.2 安全等级评估。在此阶段，主要是在政府的电子政务系统建成或是运行的过程中，由第三方权威机构采取强制或非强制的方式，对政府网络安全进行定期安全等级评估，从而确定政府网络系统在建成后，或是在系统更新后是否达到防范风险的可靠级别。
1.3 安全检查评估。在此阶段，主要采用专门的模拟攻击、漏洞扫描等方式，对政府电子政务（包括网络设备、服务器、客户机、数据库和应用系统等）进行安全检查，找出其中可能存在的安全隐患并提供扫描后的相关数据，给予政府电子政务安全检查评估。在安全检查评估中，主要运用到基于主机的（硬件系统）和基于网络的（软件系统）两种技术。通过安全检查评估，能够起到预防网络系统中存在的隐患的作用，并提供科学有效的解决措施，从而更进一步提高网络安全的整体水平。
2 政府网络安全风险评估的模型与应用
2.1 安全风险评估应用模型三阶段。在电子政务系统建设的实施过程，主要分为规划与设计阶段、建设与实施阶段、运行与管理阶段等三个阶段。其中，安全风险分析主要作用于规划与设计阶段，安全等级评估主要作用于建设与施工阶段，安全检查评估主要作用于运行与管理阶段。
安全风险分析，主要是利用风险评估工具对系统的安全问题进行分析。对于信息资产的风险等级的确定，以及其风险的优先控制顺序，可以通过根据电子政务系统的需求，采用定性和定量的方法，制定相关的安全保障方案。
安全等级评估，主要由自评估和他评估两种评估方式构成。被评估电子政务系统的拥有者，通过结合其自身的力量和相关的等级保护标准，进行安全等级评估的方式，称为自评估。而他评估则是指通过第三方权威专业评估机构，依据已颁布的标准或法规进行评估。通过定期或随机的安全等级评估，掌握系统动态、业务调整、网络威胁等动向，能够及时预防和处理系统中存在的安全漏洞、隐患，提高系统的防御能力，并给予合理的安全防范措施等。若电子政务网络系统需要进行较大程度上的更新或变革，则需要重新对系统进行安全等级评估工作。
安全检查评估，主要是在对漏洞扫描、模拟攻击，以及对安全隐患的检查等方面，对电子政务网络系统的运行状态进行监测，并给予解决问题的安全防范措施。
2.2 安全风险分析的应用模型。在政府网络安全风险评估工作中，主要是借助安全风险评测工具和第三方权威机构，对安全风险分析、安全等级评估和安全检查评估等三方面进行评估工作。在此，本文重点要讲述的是安全风险分析的应用模型。在安全风险分析的应用模型中，着重需要考虑到的是其主要因素、基本流程和专家评判法。
（1）主要因素
在资产上，政府的信息资源不但具有经济价值，还拥有者重要的政治因素。因此，要从关键和敏感度出发，确定信息资产。在不足上，政府电子政务网络系统，存在一定的脆弱性和被利用的潜在性。在威胁上，政府电子政务网络系统受到来自内、外部的威胁。在影响上，可能致使信息资源泄露，严重时造成重大的资源损失。
（2）基本流程
根据安全需求，确定政府电子政务网络系统的安全风险等级和目标。
根据政府电子政务网络系统的结构和应用需求，实行区域和安全边界的划分。
识别并估价安全区域内的信息资产。
识别与评价安全区域内的环境对资产的威胁。
识别与分析安全区域内的威胁所对应的资产或组织存在的薄弱点。
建立政府电子政务网络系统的安全风险评估方法和安全风险等级评价原则，并确定其大小与等级。
结合相关的系统安全需求和等级保护，以及费用应当与风险相平衡的原则，对风险控制方法加以探究，从而制定出有效的安全风险控制措施和解决方案。
（3）专家评判法
在建设政府电子政务网络系统的前期决策中，由于缺少相关的数据和资料，因此，可以通过专家评判的方法，为政府电子政务网络系统提供一个大概的参考数值和结果，作为决策前期的基础。
在安全区域内，根据网络拓扑结构（即物理层、网络层、系统层、应用层、数据层、用户层），应用需求和安全需求划分的安全边界和安全区域，建立起风险值计算模型。通过列出从物理层到用户层之间结构所存在的薄弱点，分析其可能为资产所带来的影响，以及这些薄弱点对系统薄弱环节外部可能产生的威胁程度大小，进而通过安全风险评估专家进行评判，得到系统的风险值及排序。
在不同的安全层次中，每个薄弱环节都存在着不同程度的潜在威胁。若是采用多嵌套的计算方法，能够帮助计算出特定安全区域下的资产在这些薄弱环节中的风险值。
3 结语
本文主要通过对政府电子政务网络系统的建设中，所进行的安全风险评估进行研究，分析和探讨在规划与设计阶段、建设与实施阶段、运行与管理阶段三个阶段中政府网络安全建设的相关问题。并在各阶段分别采用安全风险分析、系统建设完成后的安全等级评估。在系统建成后的运行和管理阶段，采用的安全检查评估等方法，保障政府电子政务网络系统的安全。此外，在安全风险分析中，可操作的方法并不多，需要有关部门加强力度，加以研究和探析。在等级安全评估和安全检查评估两个阶段，可以充分利用第三方权威机构的评测工具，来加强政府网络的安全性。
参考文献：
[1]杨志新.政府网络安全风险评估[J].系统工程，2005，4.
[2]王继晔.政府信息网络的安全措施及技术手段[J].交通与计算机，2003，2.
[3]黄炜.我国政府保护网络经济信息安全的现状和对策[J].华南理工大学，2010，5，6.
[4]夏义，李勇.政府网络安全问题分析[J].高校图书情报论坛，2003，2.
安全风险评估范文第3篇
关键词 风险管理；档案安全；风险评估
按照风险管理的视角对电子档案的安全管理进行透视分析，具有极为重要的现实意义。明确风险管理和安全管理二者之间的辩证统一关系，才能对医院档案安全管理有更加清晰的认识。风险管理作为安全管理的核心内容，贯穿于安全管理的全过程。应用风险管理理论对医院档案安全管理体系进行评估分析，针对结论采取针对性措施，对于确保档案资料作用的充分发挥具有极为重要的保障作用。
风险管理与档案安全之间的关系
“安全”的基本内涵是没有危险、没有损失、没有威胁。“风险”主要内涵为危险、伤害以及遭受损失的可能性，二者之间具有极为密切的关系。但是，风险并非意味着不安全。“风险”重点强调“可能性”，其具体含义为可能引起或者不会引起安全问题，风险不是绝对的。“风险”同时具有威胁与机会的双重含义，其中的威胁是消极的，而机会则是积极的。此处的威胁不同于传统含义的威胁，其关键点在于如何平衡安全、成本和效率，如何将威胁转换为机会。在医院的档案管理中，尽管电子档案更加便捷、易于管理，但其所存在的风险远远大于纸质档案的风险，可是，不能由于这种风险的存在就不再采纳电子档案。
风险管理的基本内容为对可能遇到的风险情况全过程进行计划、识别、评估、应对、监控等。对风险大小的正确识别，必须依靠准确的风险评估。进行评估后，再采取对应而适当的控制方式，对目标风险进行有效控制，根据实际情况制定针对性的信息安全管理方式，才可以确保将安全风险发生率降低到可控水平范围内。风险管理是安全管理的核心内容，贯穿于安全管理的始终。风险管理具有双重意义，既可指导安全管理，又能应用于安全工作实践。只有在正确地了解和认识到存在的安全、风险后，才可以更加全面地、准确地理解风险管理，才可以从安全风险的角度出发制定出合理而完善的决策，正确开展安全体系建设以及安全管理投资等。以风险管理的视角对安全管理进行透视，必须始终坚持将风险管理贯穿于安全管理体系。建成的风险管理安全管理体系并不表示可以完全消除安全风险，但这种体系的完全实施，将可以确保安全风险尽量减少到最低水平，最终实现安全风险、安全成本与安全效率之间的有效平衡。
档案安全风险评估的必要性和作用
医院的档案管理与其他行业领域的档案管理工作一样，存在着较大的安全隐患问题，这些安全隐患成为诱发档案安全事故的潜在威胁。加之档案管理工作人员的基本素质与业务素养存在着较大的差异，其认识上表现为不一致性。①不少档案管理部门以及档案管理人员尚未形成风险管理意识。工作人员期望实现档案的绝对安全，但实际上绝对安全是不存在的。即便是对隐患进行认真排查或对风险进行有效控制，都只能实现档案的相对安全，随着环境的变化，其安全问题依然存在。和档案资料安全的相对性相比，档案资料的风险却表现为绝对性，不管采用何种方法进行控制预防，风险始终一直存在。正是由于上述关系，档案管理部门以及工作人员必须牢固树立对档案安全以及风险管理和控制的正确意识，始终紧绷安全这根弦，一直致力于档案安全管理。②部分档案管理工作人员的风险意识比较淡薄，其麻痹思想严重。在工作过程中，存在侥幸心理，自己认为不会出问题。③部分档案管理人员没有对档案工作的重要性引起足够的重视。档案资料具有保密性、完整性、实用性以及真实性，其业务内容相对复杂。因此，要始终坚持形成档案安全风险评估机制，且努力将这一机制认真贯彻实施。
开展档案安全风险评估，能够帮助档案管理工作人员对档案管理中存在的全隐患和问题进行及时的排查，排查后，才能确保对安全隐患进行排除。及时进行安全隐患的排查，虽然不能彻底避免安全事故，但可以有效降低安全事故的发生率。开展安全风险评估，有助于档案工作人员在提升档案资料安全性的同时进一步熟悉基本情况，做到心中有数。进行安全风险评估，能够促进档案管理工作人员根据相应的规定制定出具有针对性的档案管理评估标准，进一步提升档案管理的水平。
安全风险评估范文第4篇
从企业内部业务出发，优化信息安全风险评估基本模型，设计了一个企业信息安全风险自评估实施模型，并深入分析了该模型的内容，使其适用于企业依托自身力量来有效开展自评估活动，从而提高企业信息安全风险防护能力。
关键词：
信息安全；自评估；风险评估；模型设计
企业信息安全风险评估主要有2种模式，即他评估和自评估。相比较而言，自评估展现出越来越多的优点，比如外部依赖性小、投入费用低、评估周期短、次生风险低和可以提高内部安全意识等。除此之外，信息安全风险的动态化决定信息安全评估工作应是长期持续的，大部分的内部信息安全风险评估内容企业可采用自评估方式来完成。但信息安全风险评估的专业性、技术性、标准性比较高，企业难以掌握复杂的评估技术和方法。本文以企业业务为出发点，对信息安全风险评估基本模型进行优化，设计了一个更适用于企业依托自身力量来有效开展自评估的实施模型，以提高企业信息安全风险防护能力。
1信息安全风险评估基本模型
对风险评估模型的研究一直是信息安全风险评估领域的研究热点之一。风险评估基本模型是一种基于资产、威胁和脆弱性的信息安全风险评估模型。其中，资产的评估主要是对资产进行相对估价，估价准则依赖于对其影响范围的分析；威胁评估是对资产所受威胁发生可能性和威胁严重程度的评估；脆弱性评估是对资产脆弱程度的评估，也是对资产被威胁、利用成功的可能性的评估。信息安全风险评估基本模型的评估过程就是对资产信息、威胁信息和脆弱性信息进行综合分析评估并且生成风险信息的过程，包含确定评估范围、资产识别阶段、安全威胁/脆弱性评估、风险分析和风险管理等阶段。基于信息安全风险评估基本模型，很多学者从不同角度和目的做了优化和完善。但是，信息安全风险评估模型的研究还处于探索和完善阶段，已有的研究存在一些缺陷，主要表现为以下3点：①缺乏对评估内容的逐层细化，难以评价和量化各要素，可操作性比较差；②缺乏对风险评估基本要素属性的综合思考，难以体现评估要素与企业业务的关系；③大部分模型比较复杂，评估方法和流程操作起来费时费力，企业难以采用。
2基于基本模型的企业信息安全自评估模型
针对信息安全风险评估模型的不足，本文综合考虑企业自身的业务和内部约束条件，在基本模型和相关研究成果的基础上，提出更加简单、有效的企业信息安全风险自评估模型。本文认为，企业信息安全风险自评估模型应遵循自主、简单、规范性、可行性和可扩展性的原则，基本思路是从企业业务出发，多角度研究自评估模型中资产、威胁、脆弱性的关系和指标，应用相关统计分析方法统计，运用层次分析法（AHP）评价、量化相关要素和风险，最终构建一个科学、合理、可操作的企业自评估模型。在此过程中，需要解决3方面的问题：①明确评估的对象、内容和流程；②构建评价方法，统一评估和度量风险基本要素；③统一不同层面、角度的评估结果。
2.1基于AHP的信息安全风险要素度量方法
AHP（AnalyticHierarchyProcess，层次分析法）是一种定性分析与定量分析相结合的多目标决策分析方法，其基本步骤是：①分析问题，建立递阶结构（评价模型）；②构造比较判断矩阵；③层次单排序；④一致性检验；⑤层次总排序与一致性检验；⑥选择最优的解决方案。资产、威胁、脆弱性作为信息安全风险自评估模型的3个基本要素，需要分别识别和分析，并提炼出各自的评价指标。本文结合已有的理论和实践成果，从自主性、简单性、可行性和科学性原则出发，基于相关标准、企业环境和企业业务影响分析，提出信息资产的评价因素应包含经济、名誉、法律法规、业务运营、社会秩序、商业利益和个人利益，等等，威胁可能性评价指标应包含威胁攻击力、威胁动机、资产诱因和威胁频率等，脆弱性严重程度赋值的评价因素应包含可用性、机密性和完整性。根据资产受到损害时对其评价因素带来的损失为资产价值赋值（比如从1～4取值），数值越大，表明资产价值越高。得到各评价因素的综合分值后，分值最大的为该资产的价值，即资产价值为A＝max（i）。根据威胁评价指标和脆弱性评价因素，利用AHP方法建立威胁、脆弱性评价体系，体系由目标层、准则层和指标层（方案层）构成。为了方便对不同威胁发生可能性概率、不同脆弱性的严重程度进行类比、度量，使用统一的度量标准，采用相对等级的方式处理评价结果（比如从1～4取值），数值越大，威胁发生的可能性越高，带来的损害越大。通过AHP用数量形式表达和处理个人主观判断结果，采用专家和团队评分进一步比较各要素的重要性，并做一致性检验，最终确定各要素的值。
2.2企业信息安全自评估风险计算
在对资产价值、威胁、脆弱性分析和量化后，还要确定各要素之间的组合方式和具体的计算方法。《信息安全风险评估规范》（2007）对风险值的计算提出了如下函数：风险值＝R（A，T，V）＝R（L（T，V），F（Ia，Va））.（1）式（1）中：R为安全风险计算函数；A为资产；T为威胁；V为脆弱性；L为威胁利用资产的脆弱性导致安全事件的可能性；F为安全事件发生后造成的损失；Ia为安全事件所作用的资产价值；Va为脆弱性严重程度。信息安全风险值的计算方法主要有矩阵法、相乘法和预先价值矩阵查表法等，并且可以将多种方法结合使用。因为相乘法操作简单，所以，在风险分析中的应用比较广泛。该方法是一种定量的计算方法，主要思路是利用2个相关要素值的乘积计算出结果要素的值。按照简单性、科学性原则，对于企业自评估，本文认为，相乘法比较适合企业使用，但不限于该方法。根据相乘法，企业信息安全风险值的计算过程是：①计算威胁利用资产的脆弱性导致安全事件的可能性，即L＝L（T，V）＝T×V；②计算安全事件发生后造成的损失，即F＝F（Ia，Va）＝Ia×Va；③计算风险值，即R＝R（L，F）＝L×F.
2.3企业信息安全自评估模型和流程设计
企业信息安全风险自评估的基本目的是依据企业自身业务，识别出信息系统中存在的主要安全风险，并排列优先级，为风险信息计算提供数据支撑，进而为提出风险应对措施提供建议。基于上述方法，本文提出了企业信息安全风险自评估模型，如图1所示。企业信息安全风险自评估模型的实施分为范围确定、资产识别与量化、威胁分析、脆弱性分析、风险分析与计算、风险应对建议6个阶段，每个阶段的具体任务如图2所示。本文提出的自评估模型综合了企业自评估的约束条件、风险评估的基本原理、关键环节与流程、基本要素度量等，具有以下5个特点：①模型提供了统一的资产、威胁、脆弱性3个基本要素的度量和评价方法，依据模型中的评价指标可以进行量化和排序。②模型将企业业务与风险评估结合起来，体现了IT服务企业、服务业务的理念，在一定程度上反映出了信息安全风险评估对业务的影响程度和对企业的价值。③模型满足信息安全的动态性要求，适应企业业务不断发展和调整的需要。当业务调整时，企业仅需分析业务信息流，识别出相关资产、威胁和脆弱性等。④模型满足信息安全的持续性要求，企业可建立相关制度，将自评估设立为日常性工作。当业务无法调整时，自评估活动仅需识别和分析新的脆弱性和威胁信息，从而节省大量资源。⑤模型具有较强的适应性，适用于不同类型的企业，企业可根据实际情况裁减和优化，根据各自的偏好选择风险计算方法。
3结束语
安全风险评估范文第5篇
关键词：信息安全；风险评估；教学
信息安全风险评估是进行信息安全管理的重要依据，通过对信息系统进行系统的风险分析和评估，发现存在的安全问题并提出相应的措施，这对于保护和管理信息系统至关重要。目前国内外都高度重视信息安全风险评估工作。美国政府2002年颁布《联邦信息安全管理法》，对信息安全风险评估提出了具体的要求；欧盟国家也把开展信息安全风险评估作为提高信息安全保障水平的重要手段；2003年7月23日，国家信息中心组建成立“信息安全风险评估课题组”，提出了我国开展信息安全风险评估的对策和办法。2004年，国务院信息办研究制订了《信息安全风险评估指南》和《信息安全风险管理指南》两个风险评估的标准；2006年又起草了《关于开展信息安全风险评估工作的意见》[1]。这些工作都对信息安全人才的培养提出了更高的要求，同时也为《信息安全风险评估》课程的开设和讲授提供了必要的基础和条件。《信息安全风险评估》课程教学，是信息安全专业一门重要的专业课程，能全面培养学生综合运用专业知识，评估并解决信息系统安全问题的能力，是培养符合国家和社会需要的信息安全专业人才的重要课程之一。《信息安全风险评估》课程本身的理论性与实践性都很强，课程发展十分迅速，涉及的学科范围也较广，传统的教学的模式不能使该课程的特点很好地展示出来，无法适应社会经济发展对信息安全从业人员的新要求，教学改革势在必行。
一、现状与存在的问题
信息安全风险评估是从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的安全威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施。它涉及信息系统的社会行为、管理行为、物理行为、逻辑行为等的保密性、完整性和可用性检测。风险评估的结果可以作为信息安全风险管理的指南，用来确定合适的管理方针和选择相应的控制措施来保护信息资产，全面提高信息安全保障能力[2]。自2001年信息安全专业建立以来，高校在制订本科专业教学培养目标和教学计划时，侧重于具体安全理论和技术的教学和讲授，特别是重点强调了密码学、防火墙、入侵检测、网络安全等安全理论与技术的传授。从目前高校的教学内容看，多数侧重于对“信息风险管理”、“风险识别”、“风险评估”和“风险控制”等基本内容的介绍上，而且教学课时数也较少，只有十个学时。当前从《信息安全风险评估》课程的教学情况来看，该课程在信息安全教育教学过程中地位有待提高，实践教学的建设与研究迫切需要深化。
当前该课程的教学实践中普遍存在以下几个方面的问题，严重制约了《信息安全风险评估》课程教学质量的提高：
1.本科教学大都以理论内容为主体，实验和课程设计的学时安排较少。一般高校的《信息安全风险评估》课程主要以理论内容的讲授为主，实验和课程设计的学时较少，实验内容也大多属于验证性质，缺少具有研究和探索性质的信息安全风险评估实践内容和课程设计；
2.教学方法单一，缺乏激励学生求知欲的教学方法和手段。当前开设《信息安全风险评估》课程的高校还较少，师资力量相对薄弱，教学经验也比较缺乏，仍以主要由教师讲述的传统教学方式为主，学生进行具体实践和操作的课时较少，缺乏创新性的教学和研究，基本没有具有探索性和创新性特点的教学内容，不利于发挥学生主观能动性，提高其创新能力；
3.实验环境无法满足教学需求，缺乏专业的信息安全风险评估师资。我国信息安全风险评估的研究和教学工作起步晚，缺乏相关的实验设备；而且受到资金和专业发展等多方面因素的制约，难以设立专门的信息安全风险评估实验室。此外，信息安全风险评估是以计算机技术为核心，涉及管理科学、安全技术、通信和信息工程等多个学科，对于理论和实践要求都很高。这就要求教师既要学习好各学科的基本知识，又要加强实践训练。
二、教学改革与探索
高校计算机相关专业开设《信息安全风险评估》课程，不是培养网络信息安全方面的全才或战略人才，而是培养在实际生活和工作中确实能解决某些具体安全问题的实用型人才。针对《信息安全风险评估》课程的特点和教学中存在的不足，我们从以下几个方面对该课程的教学改革进行了探索：
1.重新确立课程培养目标。①重点培养学生分析和评估信息安全问题的能力：《信息安全风险评估》课程是一门理论性和实践性紧密结合的课程，目前开设该课程的高校较少，各学校的教学内容也多种多样。该课程的教学目标即要培养学生发现信息系统存在的安全风险，同时也需要培养他们科学地提出解决安全隐患的方案及能力。如何提高学生分析和评估信息安全问题的能力是该课程教学的首要目标。②培养学生实际操作的能力：信息安全风险评估的关键是对信息系统的资产进行分类，对其风险的识别、估计和评价做出全面的、综合的分析。这就要求学生熟练地掌握目标对象的检测和评估方法，包括使用各种自动化和半自动化的工具，可在模拟实验里，通过不断地训练实现。③培养学生继续学习、勇于探索创新的能力：随着信息化的不断发展，信息系统所面临的安全威胁急剧增加，为此各国政府都不断提出和完善了各类信息安全测评标准。这就要求我们在教学中不断地学习、理解和解释最新的国际、国内以及相关的行业标准，培养和提高学生继续学习的能力。另外，《信息安全风险评估》课程也要求通过课堂教学、课后练习、实验验证和考试、考查等教学环节培养学生独力分析信息系统安全的能力，培养学生对信息安全风险评估领域进行探索和研究的兴趣，最终使学生掌握信息安全风险评估的知识和技能，能够解决具体信息系统的安全问题。
2.增加信息安全风险评估理论和相关标准的教学。信息安全测评标准和相关法律法规是进行信息系统安全风险评估的依据和保障。2006年由原国信办《关于开展信息安全风险评估工作的意见》（国信办2006年5号文）；同时，随着信息安全等级保护制度的推行，公安部会同有关部门出台了一系列政策文件，主要包括：《关于信息安全等级保护工作的实施意见》、《信息安全等级保护管理办法》等；国家信息安全标准化委员会颁发了《信息安全风险评估规范》（GB/T 20984~2007）、《信息系统安全等级保护基本要求》（GB/T 22239-2008）等多个国家标准[3]。为了保证《信息安全风险评估》课程目标的实现，我们在教学过程中，增加了《GB/T20984-2007信息安全技术信息安全风险评估规范》、《GB/Z24364-2009信息安全风险管理指南》、《GB/T
22080-2008信息安全管理体系要求》、《GB/T22081-
2008信息安全管理实用规则》、《GB/T20269-2006信息系统安全管理要求》、《GB/T25063-2010?摇信息安全技术服务器安全测评要求》、《GB/T 20010-2005信息安全技术包过滤防火墙评估准则》、《GB/T20011-2005信息安全技术路由器安全评估准则》、《GA/T 672-2006信息安全技术终端计算机系统安全等级评估准则》、《GA/T 712-2007信息安全技术应用软件系统安全等级保护通用测试指南》等相关评估标准和指南的学习，并编制相关的调查、检查、测试表，重点强调对脆弱性检测的理论依据的描述，检测方法及其步骤的详细记录。
3.利用各种测评工具，提高学生实践能力。在信息安全风险评估过程中，资产赋值、威胁量化分析、安全模型的建立等环节的教学和实践对教师和学生都提出了较高的专业课程要求。我们在《信息安全风险评估》课程实践中通过使用风险评估工具，并对具体的信息系统进行自动化或半自动化的分析，加深了学生信息安全风险评估的理论知识理解，同时注重培养学生动手实践能力和探索新知识的能力。我们增加了主动型风险评估工具Tenable扫描门户网站系统的实践性教学内容。通过评估，该系统的服务器存在感染病毒的症状，其原因是服务器存在特定漏洞。为此我们使用漏洞扫描器对该服务器进行扫描，发现了“远程代码被执行”漏洞，而且该漏洞能被蠕虫病毒利用，形成针对系统的攻击。通过案例特征提供了的信息，培养学生使用测评工具对具体信息系统进行安全风险评估的能力，并进一步使其认识到主动型评估工具是信息安全风险评估中快速了解目标系统安全状况不可或缺的重要手段。
笔者结合自己的教学实践体会，论述了当前《信息安全风险评估》课程中存在的问题以及解决对策。《信息安全风险评估》课程教学改革和建设是一个长期的、系统化的工程，需要不断地根据信息系统在新环境下面临的各种威胁，制定新的评估标准和评估方案，并使得学生在有限的时间和环境下掌握相应的知识和技能，以满足社会对信息安全人才的需求。
参考文献：
[1]付沙.加强信息安全风险评估工作的研究[J].微型电脑应用，2010，26（8）：6-8.
[2]杨春晖，张昊，王勇.信息安全风险评估及辅助工具应用[J].信息安全与通信保密，2007，（12）：75-77.
[3]潘平，杨平，罗东梅，何朝霞.信息系统安全风险检查评估实践教学探讨[C]// Proceedings of 2011 National Teaching Seminar on Cryptography and Information Security（NTS-CIS 2011），2011，（8）.
