【正文】 可用由于應(yīng)承擔(dān)應(yīng)有的法律責(zé)任可能支付賠償金額來表示經(jīng)濟(jì)損失，當(dāng)然其中有很多不確定因素，實(shí)際應(yīng)用時(shí)可參考慣例、合同本身、有關(guān)法律法規(guī)的規(guī)定。 p人員安全危害 :風(fēng)險(xiǎn)事件可能對(duì)人員安全構(gòu)成危害，甚至危及到生命，這類損失很難用貨幣衡量 p組織信譽(yù)、形象損失 :風(fēng)險(xiǎn)事件可能導(dǎo)致組織信譽(yù)、形象受損，這類損失很難用直接的經(jīng)濟(jì)損失來估計(jì)，應(yīng)通過一定的方式計(jì)算潛在的經(jīng)濟(jì)損失，如由于信譽(yù)受損，可能 導(dǎo)致市場份額損失、與外部關(guān)系受損 等，市場份額損失可以轉(zhuǎn)化為經(jīng)濟(jì)損失，與外界各方關(guān)系的損失可通過分析關(guān)系重建的花費(fèi)、由于關(guān)系受損給業(yè)務(wù)開展帶來的額外花費(fèi)等因素來估計(jì)，另外專家估計(jì)也是一種可取的方法。 風(fēng)險(xiǎn)評(píng)估流程可能性分析 總體說來，安全事件發(fā)生的可能性的因素有： 資產(chǎn)吸引力、威脅出現(xiàn)的可能性、脆弱點(diǎn)的屬性、安全措施的效能 等。 根據(jù)威脅源的分類，引起安全事件發(fā)生的原因可能是自然災(zāi)害、環(huán)境及系統(tǒng)威脅、人員無意行為、人員故意行為等。不同類型的安全事件，其可能性影響因素也有點(diǎn)不同。風(fēng)險(xiǎn)評(píng)估流程 　 一是 計(jì) 算安全事件 發(fā) 生的可能性 根據(jù)威 脅 出 現(xiàn)頻 率及脆弱性狀況， 計(jì) 算威 脅 利用脆弱性 導(dǎo) 致安全事件 發(fā) 生的可能性，即： 安全事件 發(fā) 生的可能性＝ L(威 脅 出 現(xiàn)頻 率，脆弱性 ) ＝ L(T， V )　　 二是 計(jì) 算安全事件 發(fā) 生后的 損 失 根據(jù) 資產(chǎn) 重要程度及脆弱性 嚴(yán) 重程度， 計(jì) 算安全事件 發(fā) 生后的損 失，即： 安全事件的 損 失＝ F(資產(chǎn) 重要程度，脆弱性 嚴(yán) 重程度 ) ＝ F(Ia， Va ) 三是 計(jì) 算 風(fēng)險(xiǎn)值 根據(jù) 計(jì) 算出的安全事件 發(fā) 生的可能性以及安全事件的 損 失， 計(jì)算 風(fēng)險(xiǎn)值 ，即： 風(fēng)險(xiǎn)值 ＝ R(安全事件 發(fā) 生的可能性，安全事件的 損 失 )　　　　 ＝ R(L(T， V)， F(Ia， Va ))　　 　　風(fēng)險(xiǎn)評(píng)估流程風(fēng)險(xiǎn)等級(jí)等級(jí) 標(biāo)識(shí) 描述5 極高 一旦 發(fā) 生將 產(chǎn) 生非常 嚴(yán) 重的 經(jīng)濟(jì) 或社會(huì)影響，如 組織信譽(yù) 嚴(yán) 重破壞、 嚴(yán) 重影響 組織 的正常 經(jīng)營 ， 經(jīng)濟(jì)損失重大、社會(huì)影響 惡 劣4 高 一旦 發(fā) 生將 產(chǎn) 生 較 大的 經(jīng)濟(jì) 或社會(huì)影響，在一定范 圍內(nèi) 給組織 的 經(jīng)營 和 組織 信譽(yù)造成 損 害3 中 一旦 發(fā) 生會(huì)造成一定的 經(jīng)濟(jì) 、社會(huì)或生 產(chǎn)經(jīng)營 影響，但影響面和影響程度不大2 低 一旦 發(fā) 生造成的影響程度 較 低，一般 僅 限于 組織 內(nèi)部，通 過 一定手段很快能解決1 很低 一旦 發(fā) 生造成的影響幾乎不存在，通 過簡單 的措施就能彌 補(bǔ)風(fēng)險(xiǎn)評(píng)估流程 風(fēng)險(xiǎn)處理計(jì)劃 系系 統(tǒng)統(tǒng) 管理者管理者 應(yīng)綜應(yīng)綜 合考合考 慮風(fēng)險(xiǎn)慮風(fēng)險(xiǎn) 控制成本與控制成本與 風(fēng)風(fēng)險(xiǎn)險(xiǎn) 造成的影響，提出一個(gè)造成的影響，提出一個(gè) 可接受可接受 風(fēng)險(xiǎn)風(fēng)險(xiǎn) 范范 圍圍 。 對(duì)對(duì) 某某些些 風(fēng)險(xiǎn)風(fēng)險(xiǎn) ，如果，如果 評(píng)評(píng) 估估 值值 在可接受在可接受 風(fēng)險(xiǎn)風(fēng)險(xiǎn) 范范 圍圍 內(nèi)，可內(nèi)，可以保持已有的安全措施；如果以保持已有的安全措施；如果 評(píng)評(píng) 估估 值值 超出了可接超出了可接受受 風(fēng)險(xiǎn)值風(fēng)險(xiǎn)值 的范的范 圍圍 ， 則則 需要采取安全措施以降低、需要采取安全措施以降低、控制控制 風(fēng)險(xiǎn)風(fēng)險(xiǎn) 。風(fēng)險(xiǎn)評(píng)估流程7. 安全措施的選取 風(fēng)險(xiǎn)評(píng)估的目的不僅是獲取組織面臨的有關(guān)風(fēng)險(xiǎn)信息，更重要的是采取適當(dāng)?shù)拇胧?將安全風(fēng)險(xiǎn)控制在可接受的范圍內(nèi) 。 如前所述，安全措施可以 降低 安全事件造成的 影響，也可以 降低 安全事件發(fā)生的 可能性 ，在對(duì)組織面臨的安全風(fēng)險(xiǎn)有全面認(rèn)識(shí)后，應(yīng)根據(jù)風(fēng)險(xiǎn)的性質(zhì)選取合適的安全措施，并對(duì)對(duì) 可能的殘余風(fēng)險(xiǎn) 進(jìn)行分析，直到殘余風(fēng)險(xiǎn)為可接受風(fēng)險(xiǎn)為止。風(fēng)險(xiǎn)評(píng)估流程8 風(fēng)險(xiǎn)評(píng)估文件記錄 風(fēng)險(xiǎn)評(píng)估文件包括在整個(gè)風(fēng)險(xiǎn)評(píng)估過程中產(chǎn)生的評(píng)估過程文檔和評(píng)估結(jié)果文檔，這些文檔包括： (1)風(fēng)險(xiǎn)評(píng)估計(jì)劃 (2)風(fēng)險(xiǎn)評(píng)估程序 (3)資產(chǎn)識(shí)別清單 (4)重要資產(chǎn)清單 (5)威脅列表 (6)脆弱點(diǎn)列表 (7)已有安全措施確認(rèn)表 (8)風(fēng)險(xiǎn)評(píng)估報(bào)告 (9)風(fēng)險(xiǎn)處理計(jì)劃 (10)風(fēng)險(xiǎn)評(píng)估記錄風(fēng)險(xiǎn)評(píng)估方法信息安全風(fēng)險(xiǎn)評(píng)估方法風(fēng)險(xiǎn)評(píng)估方法1 概述 信息安全風(fēng)險(xiǎn)評(píng)估是通過采用一定的方法對(duì)組織面臨的風(fēng)險(xiǎn)進(jìn)行識(shí)別，并分析風(fēng)險(xiǎn)對(duì)組織帶來的影響以及其發(fā)生的可能性大小，然后通過一定的綜合評(píng)價(jià)方法來評(píng)估組織面臨的風(fēng)險(xiǎn)，并選取適當(dāng)?shù)拇胧﹣砜刂骑L(fēng)險(xiǎn)。風(fēng)險(xiǎn)評(píng)估的 復(fù)雜性決定了風(fēng)險(xiǎn)評(píng)估方法的多樣性 。 從理論上看，風(fēng)險(xiǎn)評(píng)估方法的理論基礎(chǔ)包括： 概率風(fēng)險(xiǎn)分析方法、模糊決策方法、人工智能、定性推理方法、灰色決策理論、綜合評(píng)價(jià)方法 等。 從風(fēng)險(xiǎn)評(píng)估過程整體上看，風(fēng)險(xiǎn)評(píng)估方法有： 基于資產(chǎn)驅(qū)動(dòng)的風(fēng)險(xiǎn)評(píng)估方法、威脅驅(qū)動(dòng)的風(fēng)險(xiǎn)評(píng)估方法、脆弱點(diǎn)驅(qū)動(dòng)的風(fēng)險(xiǎn)評(píng)估方法、基于案例的風(fēng)險(xiǎn)評(píng)估方法 等。 從風(fēng)險(xiǎn)分析方法來看，風(fēng)險(xiǎn)評(píng)估方法可分為兩大類：定量方法與定性方法 。風(fēng)險(xiǎn)評(píng)估方法2 信息安全風(fēng)險(xiǎn)評(píng)估理論基礎(chǔ) （ 1） 概率風(fēng)險(xiǎn)分析 概率風(fēng)險(xiǎn)分析方法的思想是利用概率論方法來識(shí)別和分析風(fēng)險(xiǎn)，這類方法主要包括：故障樹分析法（ FTA），故障模式影響和危害程度分析方法（ FMECA），危害及可操作性研究分析方法（ HazOp）和 Markov分析法。 （ 2）模糊決策方法 風(fēng)險(xiǎn)評(píng)估的對(duì)象以及信息系統(tǒng)的狀態(tài)具有不確定性，經(jīng)典的數(shù)學(xué)模型由于其精確性特點(diǎn)使得它很難很好的把握問題的實(shí)質(zhì)，模糊決策方法填補(bǔ)了這方面的不足。 模糊決策理論不是把問題變成模糊不清的東西，相反，它具有數(shù)學(xué)的共性：條理分明、一絲不茍，它是通過規(guī)范化的理論體系來描述模糊的對(duì)象，使模糊對(duì)象能清晰的呈現(xiàn)在決策者面前，這是經(jīng)典的數(shù)學(xué)理論所不能做到的。風(fēng)險(xiǎn)評(píng)估方法（ 3）人工智能 人工智能是 20世紀(jì)中期產(chǎn)生的并正在迅速發(fā)展的新興邊緣學(xué)科 ,它是探索和模擬人的智能和思維過程的規(guī)律 ,并進(jìn)而設(shè)計(jì)出類似人的某些智能化的科學(xué)。 信息系統(tǒng)狀態(tài)變化規(guī)律的復(fù)雜性決定了很難用一確定的數(shù)學(xué)模型來描述，應(yīng)綜合 神經(jīng)網(wǎng)絡(luò)、智能推理，知識(shí)庫等多方面知識(shí)，建立一個(gè) 具有自學(xué)習(xí)能力的專家系統(tǒng) ，目前基于案例的風(fēng)險(xiǎn)評(píng)估方法就是這一理論的具體應(yīng)用。（ 4）灰色系統(tǒng)理論 部分信息已知、部分信息未知的系統(tǒng)稱為灰色系統(tǒng)?；疑到y(tǒng)理論是研究和解決灰色系統(tǒng)分析、建模、預(yù)測和控制的理論。在信息世界，由于數(shù)據(jù)的短缺或事物本身的特性，很多現(xiàn)象是 “灰色 ”的，其意義是指其中含有已知的、未知的與非確定的種種信息。風(fēng)險(xiǎn)評(píng)估方法（ 5）綜合評(píng)價(jià)方法 信息安全風(fēng)險(xiǎn)評(píng)估對(duì)象是多指標(biāo)的復(fù)雜系統(tǒng)，對(duì)于多指標(biāo)系統(tǒng)，評(píng)價(jià)指標(biāo)有多個(gè)，不同指標(biāo)有不同的量綱，多指標(biāo)系統(tǒng)的評(píng)價(jià)過程中必須解決以下兩個(gè)問題：其一是 采用什么方法將不同量綱指標(biāo)無量綱化 ，其二是采用何種方式確定不同指標(biāo)的相對(duì)重要性，通常是引入權(quán)向量來描述。不同綜合評(píng)價(jià)方法有不同的處理方法，常用的綜合評(píng)價(jià)方法有 綜合指數(shù)法、功效評(píng)分法、 TOPSIS法、層次分析法、主成份分析法、聚類分析法 等。 1）綜合指數(shù)法是多指標(biāo)系統(tǒng)的一種評(píng)價(jià)方法。綜合指數(shù)法通過計(jì)算各評(píng)價(jià)對(duì)象對(duì)每個(gè)指標(biāo)折算指數(shù)值來實(shí)現(xiàn)不同指標(biāo)值的無量綱化，并通過加權(quán)平均方法計(jì)算綜合指數(shù)值，風(fēng)險(xiǎn)評(píng)估方法 (2) 功效評(píng)分法通過功效系數(shù)來實(shí)現(xiàn)不同指標(biāo)的無量綱化，然后在利用其他方法來確定功效權(quán)值，如均權(quán)法、層次分析法、離差權(quán)法等。 (3)TOPSIS法風(fēng)險(xiǎn)評(píng)估方法風(fēng)險(xiǎn)評(píng)估方法(4) 層次分析法是將決策問題的有關(guān)元素分解成目標(biāo)、準(zhǔn)則、方案等層次，在此基礎(chǔ)上進(jìn)行定量和定性分析的一種決策方法。層次分析法的決策過程如下： a)分析各影響因素間的關(guān)系，建立層次模型 b)構(gòu)建兩兩比較判斷矩陣 c)計(jì)算單個(gè)判斷矩陣對(duì)應(yīng)的權(quán)重向量 d)計(jì)算各層元素對(duì)目標(biāo)層的合成權(quán)重向量(5) 主成分分析是一種多元統(tǒng)計(jì)分析方法，對(duì)于多指標(biāo)的復(fù)雜評(píng)價(jià)系統(tǒng)，由于指標(biāo)多，數(shù)據(jù)處理相當(dāng)復(fù)雜，由于指標(biāo)之間存在一定的關(guān)系，可以適當(dāng)簡化。主成分分析的思想是通過一定的變換，用較少的指標(biāo)來代替原先較多的指標(biāo)，從而達(dá)到簡化問題的處理與分析的目的。(6) 聚類分析法是解決 “物以類聚 ”，解決事務(wù)分類的一種數(shù)學(xué)方法。它是在沒有或不用樣品所述類別信息的情況下，依據(jù)對(duì)樣品采集的數(shù)據(jù)的內(nèi)在結(jié)構(gòu)以及相互間的關(guān)系，在樣品間相似性度量的基礎(chǔ)上，對(duì)樣品進(jìn)行分類的一種方法。風(fēng)險(xiǎn)評(píng)估方法3 定量方法 定量方法試圖用具體的貨幣表示形式的損失值來分析和度量風(fēng)險(xiǎn)，定量方法主要有基于期望損失的風(fēng)險(xiǎn)評(píng)估方法與基于期望損失效用的風(fēng)險(xiǎn)評(píng)估方法等。1．基于期望損失的風(fēng)險(xiǎn)評(píng)估方法 類似的定義還有期望年損失 ALE（ Annual Loss Expectancy），它是以組織在目前安全狀態(tài)下平均年損失作為風(fēng)險(xiǎn)度量的標(biāo)準(zhǔn)。若風(fēng)險(xiǎn)事件 E造成的相對(duì)損失為 loss，其發(fā)生的可能性為 L， loss和 L均為取值在 [0,1]區(qū)間定量值。若依據(jù)期望損失理論，將根據(jù) lossL值大小劃分等級(jí)，等級(jí)劃分方法結(jié)果如圖 29所示。風(fēng)險(xiǎn)評(píng)估方法2．基于期望損失效用的風(fēng)險(xiǎn)評(píng)估方法若經(jīng)過風(fēng)險(xiǎn)評(píng)估，風(fēng)險(xiǎn)事件 E造成的相對(duì)損失為 loss，其發(fā)生的可能性為 L， loss和 L均為取值在 [0,1]區(qū)間定量值。建立風(fēng)險(xiǎn)等級(jí)劃分方法，結(jié)果見圖所示 這種方法的好處就是能夠更好的區(qū)分 “高損失、低可能性 ”及 “低損失、高可能性 ”兩種不同安全事件的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)評(píng)估方法4 定性方法 定性方法不是給出具體的貨幣形式的損失，而是用諸如 “極為嚴(yán)重、嚴(yán)重、一般、可忽略 ”等定性方法來度量風(fēng)險(xiǎn)。定性方法一般 基于一定的定量方法，在定量方法的基礎(chǔ)上進(jìn)行裁剪和簡化 。典型的定性風(fēng)險(xiǎn)分析與評(píng)價(jià)方法有風(fēng)險(xiǎn)矩陣測量、威脅分級(jí)法、風(fēng)險(xiǎn)綜合評(píng)價(jià)等。(1)風(fēng)險(xiǎn)矩陣測量這種方法的特點(diǎn)是事先建立資產(chǎn)價(jià)值、威脅等級(jí)和脆弱點(diǎn)等級(jí)的一個(gè)對(duì)應(yīng)矩陣，預(yù)先將風(fēng)險(xiǎn)等級(jí)進(jìn)行了確定。然后根據(jù)不同資產(chǎn)的賦值從矩陣中確定不同的風(fēng)險(xiǎn)。(2)威脅分級(jí)法這種方法是直接考慮威脅、威脅導(dǎo)致的安全事件對(duì)資產(chǎn)產(chǎn)生的影響以及威脅導(dǎo)致安全事件發(fā)生的可能性來確定風(fēng)險(xiǎn)。(3)風(fēng)險(xiǎn)綜合評(píng)價(jià)這種方法中風(fēng)險(xiǎn)由 威脅導(dǎo)致的安全事件發(fā)生的可能性、對(duì)資產(chǎn)的影響程度以及已經(jīng)存在的控制措施 三個(gè)方面來確定。與風(fēng)險(xiǎn)矩陣法和威脅分級(jí)法不同，本方法將控制措施的采用引入風(fēng)險(xiǎn)的評(píng)價(jià)之中。風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)矩陣測量法威脅分級(jí)計(jì)算法風(fēng)險(xiǎn)綜合評(píng)價(jià)法風(fēng)險(xiǎn)計(jì)算方法1. 風(fēng)險(xiǎn)矩陣測量法 這種方法的特點(diǎn)是事先建立資產(chǎn)價(jià)值、威脅等級(jí)和脆弱點(diǎn)等級(jí)的一個(gè)對(duì)應(yīng)矩陣，預(yù)先將風(fēng)險(xiǎn)等級(jí)進(jìn)行了確定。然后根據(jù)不同資產(chǎn)的賦值從矩陣中確定不同的風(fēng)險(xiǎn)。使用本方法需要首先確定資產(chǎn)、威脅和脆弱點(diǎn)的賦值，要完成這些賦值，需要組織內(nèi)部的管理人員、技術(shù)人員、后勤人員等方面的配合。資產(chǎn)風(fēng)險(xiǎn)判別矩陣如表 39所示。 對(duì)于每一資產(chǎn)的風(fēng)險(xiǎn)，都將考慮資產(chǎn)價(jià)值、威脅等級(jí)和脆弱點(diǎn)等級(jí)。例如，如果資產(chǎn)值為 3，威脅等級(jí)為 “高”，脆弱點(diǎn)為