風險評估是要全方面的**並分析可能導致風險出現的事件發生的可能性，以及當風險出現後對組織造成損失的程度。通常情況下，乙個資訊系統是不可能不存在風險的。判斷乙個資訊系統是否安全，主要看該資訊系統的風險等級是否能夠通過一些控制措施被控制在組織可接受的範圍內。
將傳統的風險理論和評估方法應用於資訊系統中的過程叫做資訊保安風險評估。通過風險理論識別資訊風險，並對其進行評估後作出綜合分析，就是風險評估的過程。除此之外，資訊保安風險評估資訊系統在各其安全屬性上所面臨的風險要進行科學的分析與理解，並根據自身情況以及風險的實際情況選擇合適的風險控制方案，這些選擇一般包括：
接受風險、降低風險、轉移風險以及規避風險。
大部分的靜態風險評估利用一些評估標準來評估。常用的標準有：tcsec、itsec、cc、iso/iec17799、bs7799、iso13335。
靜態網路安全風險評估方法缺乏實時性、只能粗略的估計網路長期處於的安全風險狀態，對網路正在遭受的攻擊缺乏實時網路安全風險檢測。
當前國內外在資訊系統尤其是網路安全動態風險評估還是處在不斷探索的階段,包括風險的分析、風險的**、風險的決策、風險的控制、風險的取證和風險的響應等都通過實時**進行分析和處理。
動態風險評估架構由5部分組成：包括安全檢測模組、資訊管理模組、事件資源庫模組、規則資源庫模組以及風險評估模組。安全檢測模組主要通過安全檢測裝置實時監控系統中影藏的威脅資訊並發出告警資訊，資訊管理模組主要負責接收告警資訊並輸出為統一格式，事件資源庫模組收集威脅評估，資產脆弱性評估結果，規則資源庫用於儲存風險評估計算方法，風險評估模組通過整合資訊管理模組的輸出值，依據規則資源庫的風險評估計算方法計算系統的風險值。
結構如下所示：
圖1：動態風險評估結構圖
風險評估的主要任務包括：
1）對於資產面臨的各種風險進行識別評估；
2）評估風險發生的概率以及可能導致的負面影響；
3）對企業或組織能承受風險的能力進行識別確定；
4）對風險的削減和控制優化措施進行確認；
根據評估者的知識及經驗對系統的風險狀況作出判斷的評估方法叫做定性評估方法。其優點是：可以得到更全面深入的評估結論，缺點為：
評估結果中帶有評估這本身的主觀性，而且需要評估者具有很高的素質。典型的評估方法有：事件樹分析法、風險模式影響及危害性分析、原因後果分析、故障樹分析等。
將風險發生的概率、風險危害程度量化，並相乘得到的結果ale或eac，然後根據上述結果可以得到威脅事件的風險等級，最後根據不同的結果進行相應選擇的評估方法叫做定量的評估方法。其優點是：具有直觀且客觀的分析過程和結果，對比性比較強。
但量化過程中過於簡單和模糊化也是缺點，這會產生一定的誤解和曲解。典型的定量分析方法有：風險評審技術、故障樹分析法。
定性與定量相結合的評估方法就是要在風險評估中綜合使用上述兩種方法評估方法。其優點是：可以在兩種方法之間取長補短，得到更加客觀、公正和準確的評估結果。
典型的定性與定量相結合的評估方法有：層次分析法、概率風險評估、動態風險概率評估等。
動態風險評估方法在靜態分析方法的基礎上，通常結合層次分析法、灰統計理論法、貝葉斯網路分析法、神經網路法、模糊匹配法等方法對資訊系統進行全面實時的監控和分析。
資產評估包括資產識別和價值評估兩部分。資產識別即首先識別有價值的資產，列入評估清單，通常有物理資產、資訊資產、人員、服務、組織的聲譽等，通常以網路裝置、伺服器作業系統、資料庫所含的資訊為主。資料資訊的保護即為維持其完整性、可用性和保密性，通過收集、分析網路中相關計算機執行屬性，以及在整個系統執行過程中的作用和被攻擊後需要修復所產生的費用等，確定資產價值。
脆弱性是指系統存在的安全薄弱環節，容易被威脅利用並造成損失，其主要可以分為管理脆弱性和技術脆弱性，技術脆弱性主要有：資訊系統、網路設別、伺服器裝置中存在的可能導致未授權操作的脆弱性節點，該類脆弱性通常可以使用脆弱性掃瞄工具、漏洞掃瞄系統、安全審計工具等方式獲得。
威脅主要為損害資產完整性、可用性、保密性的行為，通過安全檢測模組如防火牆、防毒牆、ids以及其他安全防護裝置告警、觸發形成，經常表現為一種未預期的突發事件。威脅分析首先需要列出可能存在的所有可能導致資產損害的因素，如物理因素、系統因素、人為因素等，其次執行威脅發生可能性概率分析和潛在損失分析，根據分析結果，定量計算出威脅值，進一步形成應對策略。
如果對資訊沒有充分且深入的認識就無法對其進行資訊保安風險評估。因此，資訊保安風險評估要先對評估物件的重要資產以及重要資產所面臨的威脅進行深入了解，然後根據評估標準進行進一步的深入評估並得出評估報告，最後以評估結果為基礎，確定控制措施的實施。資訊保安風險評估具體過程如下圖所示：
圖2：資訊保安風險評估流程圖
風險分析中要涉及資產、威脅、脆弱性三個基本要素。每個要素有各自的屬性，資產的屬性是資產價值；威脅的屬性可以是威脅主體、影響物件、出現頻率、動機等；脆弱性的屬性是資產弱點的嚴重程度等。
風險分析的主要內容有：
1）對資產進行識別，並對資產的價值進行賦值；
2）對威脅進行識別，描述威脅的屬性，並對威脅出現的頻率進行賦值；
3）對脆弱性進行識別，並對具體資產的脆弱性嚴重程度進行賦值；
4）根據據威脅及威脅利用脆弱性的難易程度判斷安全事件發生的可能性；
5）根據脆弱性的嚴重程度及安全事件所作用的資產的價值計算安全事件造成的損失；
6）根據安全事件發生的可能性及安全事件出現後的損失，計算安全事件一旦發生對組織的影響，及計算風險值。
風險分析原理如圖3所示：
圖3：風險分析原理圖
在完成了資產識別、威脅識別、脆弱性識別，以及已有安全措施確認後，將採用適當的方法與工具確定威脅利用脆弱性導致安全事件發生的可能性。綜合安全事件所作用的資產價值及脆弱性的嚴重程度，判斷安全事件造成的損失對組織的影響，及安全風險。計算原理如下：
其中r表示安全風險計算函式；a表示資產；t表示威脅；v表示脆弱性；表示安全事件所作用的資產價值；表示脆弱性嚴重程度；l表示威脅利用資產的脆弱性導致安全事件出現的可能性，f表示安全事件發生後造成的損失。有以下三個關鍵計算環節：
1）計算安全事件發生的可能性
根據威脅出現頻率及脆弱性狀況，計算威脅利用脆弱性導致安全事件發生的可能性，即：安全事件的可能性=l（威脅出現頻率，脆弱性）=l（t，v），在具體評估中，應綜合攻擊者技術能力（專業技術程度、攻擊裝置等）、資產吸引力等因素來判斷安全事件發生的可能性。
2）計算安全事件發生後造成的損失
根據資產價值及脆弱性嚴重程度，計算安全事件一旦發生後造成的損失，即：安全事件造成的損失=f（資產價值，脆弱性嚴重程度）=。部分安全事件的發生造成的損失不僅僅是針對該資產本身，還可能影響業務的連續性，不同安全事件的發生對組織的影響也是不一樣的，在計算某個安全事件的損失時，應將對組織的影響也考慮在內。
部分安全事件造成的損失的判斷還應參照安全事件發生可能性的結果，對發生可能性極小的安全事件可以不計其損失。
3）計算風險值
根據計算出的安全事件的可能性以及安全事件造成的損失，計算風險值，即：風險值=r（安全事件的可能性，安全事件造成的損失）=。評估者可根據自身情況選擇相應的風險計算方法計算風險值，如矩陣法或相乘法。
矩陣法通過構造乙個二維矩陣，形成安全事件的可能性與安全事件造成的損失之間的二維關係；相乘法通過構造經驗函式，將安全事件的可能性與安全事件造成損失進行運算得到風險值。
1）矩陣法
矩陣法主要適用於由兩個要素值確定乙個要素值的情形，首先需要確定二維計算矩陣，矩陣內各個要素的值根據具體情況和函式遞增情況採用數學方法確定，然後將兩個元素的值在矩陣中進行對比，行列交叉處即為所確定的結果。即函式f採用矩陣法，矩陣法原理是：
以要素x和要素y的取值構建乙個二維矩陣，矩陣行值為要素y的取值矩陣列值為要素x的取值，矩陣內m*n個值即為要素z的取值，。
對於的計算可採用下列公式：，，。的計算需要根據實際情況而定，矩陣內的值的計算不一定遵循統一的計算公式，但必須具有統一的增減趨勢。
表1：矩陣法計算原理
2）相乘法
相乘法主要用於兩個或多個要素值確定乙個要素值的情形。即，函式f可以採用相乘法。相乘法的原理是：，當f為增量函式時，可以直接相乘，也可以為相乘後取模等，例如：
或， 等。相乘法提供一種定量的計算方法，直接使用兩個要素值進行相乘得到另乙個要素的值。
1）矩陣法
圖4：矩陣法計算資產風險值
風娃娃評課材料
評 風娃娃 一課 鄭玉梅聽了 風娃娃 一課，感觸頗深，任老師的課堂扎扎實實，能夠從二年級學生的實際出發，通過教師的全身心的投入和精心的教學設計去調動學生學習的積極性和自主性，體現了以學生為本，教師以貼切 形象 優美的語言將學生極其自然地帶進了課文，啟用了學生思維的火花，在學生一遍遍聲情並茂的朗讀中讓...
《風娃娃》評課稿
聽趙漢蓮老師課後感想 李曉琴 剛剛聽完趙漢蓮老師執教 風娃娃 後，風娃娃樂於助人，但分不清對錯，結果好心辦了壞事的形象深深地印刻在我的腦海裡，同時趙老師清脆 甜美的聲音也還在我的耳旁迴盪。在整個教學過程中，趙老師圍繞 言語的發現 表現 展開，採用多種形式引導學生朗讀 思維 感悟 表達，發揮了教師的主...
地鐵深基坑工程動態風險管理研究綜述
摘要 建立動態風險管理體系對有效處理和解決地鐵深基坑工程的不確定性等問題極為有效。本文論述了深基坑工程動態風險管理的必要性 意義和分類，並 了深基坑工程動態風險管理控制要點，對未來的發展做出了展望。關鍵詞 地鐵深基坑 動態性 風險管理 研究現狀 引言經濟的快速發展帶動了我國交通運輸的發展，地鐵工程的...