网络风险及其防范

首都经济贸易大学硕士学位论文

网络风险及其防范姓名：黄新立

申请学位级别：硕士专业：金融学

指导教师：齐瑞宗

2002.3.1

摘要

／地球正在进入一个崭新的信息时代，信息时代的最大特征是互联网的广泛应用，网上银行、网上政府、网上保险、网上购物、网上支付、网络广告、网上大学……网络，真的如同他的名字一样，散布在我们生活中的各行各业，成为企业和个人获得价值的一条更为便捷的途径。然而技术的发展存在双刃性，网络应用的推广同样会给我们带来很多负面影响，随之产生的网络风险也会愈加严重。黑客事件频频发生，２０００年２月７、８、９同三天美国多家著名网站先后遭到互联网历史上最严重的计算机黑客攻击，造成的间接和直接损失达１０亿美元二同时，

网络化使计算机病毒有了新的发展，现在病毒数量已经达到４５０００种夕随着计算机及网络应用的扩展，电脑信息安全所面临的危险和已造成的损失也在成倍地增长。每年计算机犯罪仅在银行所造成的损失，美国近１００亿美元，德国近５０亿美元，日本、英国近２０亿美元，而且继续呈上升趋势。面对网络带来的风险，网络安全变得异常脆弱。如何避免和转移哩垒！墨堕，加强计算机安全，随范立匕基

坦§垦噩，已成为当今又一崭熬的研究课题。本文分四部来论述风险的一般理论，网络风险的特点，网络§遁的越和网络风险的保险，探寻降低、转移网络风险

的方法，减少网络风险带来的损失。／

一、风险管理的一般理论ｆ

１、风险

风险是指人们对未来行为的决策及客观条件的不确定性而导致的实际结果与预期结果之间偏离的程度。客观环境和条件的不确定性是风险的重要成因，风险的大小取决于实际结果与预期结果偏离的程度。风险因素、风险事故和损失是风险的三要素，风险的存在具有客观性和普遍性，风险的发生具有偶然性和必然性，风险具有变动性。从不同的角度对风险进行分类，可以将风险分为：人身风险、财产风险、责任风险；纯粹风险和投机风险；基本风险与特定风险；静态风险与动态风险；自然风险与人为风险；可控风险与不可控风险；可保风险和不可保风险。

２、风险管理

风险管理是研究风险发生的规律和风险控制技术的一门管理科学，是指个

人、家庭或组织对可能遇到的风险进行识别、估计和评价，并在此基础上有效地控制和处置风险，以最低的成本实现最大安全保障的活动。风险管理的目的是通过对风险的有效管理，预防损失的发生以及减少损失发生的影响程度，以保证获得最大的利益。风险管理的总目标是选择最经济和有效的方法使风险成本最小。风险管理首先对风险进行识别和衡量，然后处理风险。处理风险有六种方法，风险规避、风险承担、自我保险、损失防范、风险转移、保险。

二、网络风险特点及其表现

１、网络风险的特点

所谓网络风险，是指在Ｉｎｔｅｍｅｔ日益成为日常生活重要手段的过程中，因技术、管理及法律等方面的不确定性而造成的损失的不确定性。网络风险具有以下特点：网络风险具有非行业性、外生性、广泛性、人为性、纯粹性、不完全可控性、关联性、灾难性、技术性和滞后性。

２、网络风险的表现

网络风险主要表现为以下几个方面：网络故障风险、媒体法律风险、安全性风险。其中安全性风险可以分为：

（１）自然灾害：比如火灾、洪水、地震或断电等。

（２）网络自身风险：网络由于自身存在的安全缺陷导致各种各样的攻击存在。（３）网络攻击风险：既有来自企业网络外部的攻击，也有来自内部的安全威胁。外部风险主要是外来人为威胁，包括各种有意、无意的损害。如“黑客”的恶意攻击、网络数据的非法截取、计算机病毒的传播等。来自企业内部的威胁包括：误用或滥用关键、敏感数据；因不当使用Ｉｎｔｅｒｎｅｔ接入而降低生产率。内部员工窃取机密资料等。

（４）安全管理风险：安全问题不仅仅是一个单纯的技术问题。安全风险３０％在于技术、７０％在于管理，针对安全管理的特殊性，需要有相应行之有效的安全技术手段做保障。

（５）网络的发展风险：随着互联网的发展，黑客的攻击手法也在呈线性增长，如果反黑客技术发展不足够快，后果不堪设想。

三、网络风险的防范

１、风险防范综述

防范网络风险，首先进行网络安全风险评估，设立网络安全保障架构，然后制定防范的具体措施。

风险评估通常是借助于自己的网络管理人员或者通过能够为用户提供网络安全顾问咨询服务的专业人员，帮助分析和诊断自身的网络安全状况，从技术和管理两个层面去挖掘网络安全问题存在的各个方面，形成完整的安全风险评估报告。风险评估最常用的是安全扫描工具，可多方位、多角度考察网络安全漏洞和弱点，花费低、效果好、见效快。

网络安全保障架构考虑到网络风险存在的诸个方面：

对于网络故障风险，可以通过改进网络设备性能、采用先进的传输技术、提高网络承载能力、定期检查网络设备等方式来避免。

对于媒体法律风险，可以通过制定相应的法律条款、加强宣传、提高人们的法律意识等来防范。

对于网络安全风险中的自然风险，如火灾、断电等，可以通过加强机房安全管理、投保企业财产险、增设不间断电源等方法来规避。

对于安全风险中的网络自身风险和网络攻击风险，则应该根据一定的优先级有选择有步骤地解决来自网络级、系统级、用户级、应用级、数据级的安全问题。

２、风险防范的具体措旅

（１）技术保障：常用的技术保障措施有防火墙技术、ＶＮＰ设备、安全监测预警系统、系统日志审计工具、数据加密技术、数字签名技

术等。

（２）加强安全运营管理：制定安全标准及法规、完善内部管理机制。

四、网络风险的保险

１、网络风险的可保性分析

尽管保险是人们处理风险的最有效的方法之一，但并不是所有的风险都是可以承保的。保险承保的只是可保风险，从网络风险的特点和表现来看，网络风险

具备了可保风险的特征：网络风险的发生是偶然的，而且事先无法预知损失的程度；由于网络使用的广泛性，每个连接在网络上的电脑都有遭受损失的可能性；而且网络风险有可能导致较大的损失；因Ｉｎｔｅｍｅｔ中断造成的损失，应属于财产损失，而媒体法律风险责任所造成的侵害名誉权、版权等也涉及到诉讼费用的损失；因而，网络风险是可保的。

２、国外网络保险现状

国外保险公司已经意识到网络安全保险的重要性，在一些发达国家和地区，包括互联网保险在内的高科技保险业务正成倍增长。美国已有相应的网络责任保险产品，欧洲也已经出现针对Ｉｎｔｅｒｎｅｔ认证中心的责任保险产品，英国、美国的保险公司推出了“黑客保险”；苏黎世保险公司先后在英国、美国、日本分公司推出“Ｅ—Ｒｉｓｋ保险”项目，这是一种以使用因特网开展业务的企业为对象的新型保险业务。

３、国内网络保险现状

到目前为止，我国还没有一家保险公司开展网络安全保险业务。一方面是因为法律条件尚不具备。另一方面高科技企业保险额度大，对保险条款的严谨程度要求更高。而网络发展时间较短，而且还处于高速发展之中，保险公司缺乏可供参考的损失记录和历史数据，无法进行充分的分析和计算，确定自身能够承担的风险度和厘定保险费率。另外保险公司自身在风险监控方面缺乏经验，也没有公共的风险评估组织对网络风险的损失大小、可保性进行评估，所以不敢贸然出手。

尽管开展网络保险存在这样或那样的障碍，保险公司还是应该作一些尝试。如对一些互联网依存度较低，网络工作相对单一的普通上网企业承保；效仿国外做法在保单上附加条款；采用共同保险、相互保险形式等等。目前可以尝试以下两种责任险：一是针对媒体法律风险的Ｉｎｔｅｍｅｔ责任险，二是ＩＴ职业责任险，主要针对的是网络中断风险及安全性风险。

五、结论

综前所述，面对网络化带来的风险，要采取立体的、全方位的防范措施，从技术、管理、保险诸方面进行防范，尽可能将网络风险及其带来的损失控制在最，Ｊ、。

４

Ａｂｓｔｒａｃｔ

Ｊｕｓｔｌｉｋｅｔｈｅｉｎｄｕｓｔｒｉａｌｒｅｖｏｌｕｔｉｏｎ，ａｎｅｗｒｅｖｏｌｕｔｉｏｎｉｓｔａｋｉｎｇｐｌａｃｅａｒｏｕｎｄＵＳ，ｔｈａｔｉｓｔｈｅｗｉｄｅａｐｐｌｉｃａｔｉｏｎｏｆｉｎｔｅｍｅｔｈａｓｂｒｏｕｇｈｔＵＳｔｏａｎｅｗｉｎｆｏｒｍａｔｉｏｎｅｒａ．Ｉｎｔｅｍｅｔｈａｓｂｅｅｎｗｉｄｅｌｙｕｓｅｄｉｎｍａｎｙｒｅｓｐｅｃｔｏｆ

ｓｏｃｉａｌｌｉｆｅ、ｃｏｕｎｔｒｙｓａｆｅｔｙ、ｍｉｌｉｔａｒｙｔｅｃｈｎｏｌｏｇｙａｎｄｂｕｓｉｎｅｓｓｅｔｃ．．ａｎｄｈａｓｂｅｃｏｍｅｔ１１ｅｎｅｃｅｓｓａｒｙｔ００ｌｉｎｍｏｄｅｍｓｏｃｉｅｔｙ．Ｂｕｔｗｉｔｈｔｈｅｅｘｐａｎｓｉｏｎ

ｏｆｔｈｅａｐｐｌｉｃａｔｉｏｎｏｆｃｏｍｐｕｔｅｒａｎｄｎｅｔｗｏｒｋ，ｔｈｅｒｉｓｋｉｔｂｒｉｎｇｓａｂｏｕｔｉｓｇｅｔｔｉｎｇｍｏｒｅａｎｄｍｏｒｅｈｕｇｅ，ｔｈｅｌｏｓｓｉｔｍａｋｅｓｈａｓａｌｓｏｄｏｕｂｌｙｉｎｃｒｅａｓｅｄ．Ｈｏｗｔｏｓｔｒｅｎｇｔｈｅｎｔｈｅｎｅｔｗｏｒｋｓａｆｅｔｙａｎｄｈｏｗｔｏｓｈｕｎａｎｄ

ｄｉｖｅｒｔｔｈｅｎｅｔｗｏｒｋｒｉｓｋｈａｓｎｏｗｂｅｃｏｍｅａｖｅｒｙｉｍｐｏｒｔａｎｔｓｕｂｊｅｃｔ．Ｉｎｔｈｉｓ

ｔｈｅｓｉｓｗｅｄｉｓｃｕｓｓｔｈｅｎｅｔｗｏｒｋｒｉｓｋａｎｄｈｏｗｔｏｋｅｅｐａｗａｙｔｈｅｒｉｓｋ．ＴｈｅｆｉｒｓｔｐａｒｔｏｆｔｈｅｓｉｓｉＳａｂｏｕｔｔｈｅｇｅｎｅｒａｌｔｈｅｏｒｙｏｆｔｈｅｒｉｓｋｍａｎａｇｅｍｅｎｔ．ｉｎｔｈｉｓｐａｒｔｍａｉｎｌｙｄｉｓｃｕｓｓｗｈａｔｉＳｒｉｓｋ；ｔｈｅｔｈｒｅｅｅｌｅｍｅｎｔｏｆ

ｔｈｅｒｉｓｋ．ｔｈａｔｉｓｒｉｓｋｆａｃｔｏｒ、ｒｉｓｋａｃｃｉｄｅｎｔａｎｄｌｏｓｓ；ｔｈｅｃｈａｒａｃｔｅｒｉｓｔｉｃｏｆｔｈｅｒｉｓｋ；ｔｈｅｒｉｓｋｃｌａｓｓｉｆｉｃａｔｉｏｎ．ＡｌｓｏｗｅｄｉｓｃｕｓｓｗｈａｔｉＳｒｉｓｋｍａｎａｇｅｍｅｎｔ；ｔ｝ｌｅａｎｄｎｅｃｅｓｓｉｔｙｏｆｔｈｅｒｉｓｋｍａｎａｇｅｍｅｎｔ；ｔｈｅｐｒｏｃｅｄｕｒｅｏｆｔｈｅｒｉｓｋｇｏａｌ

ｍａｎａｇｅｍｅｎｔ·

ＴｈｅｓｅｃｏｎｄｐａｒｔｏｆｔｈｅｔｈｅｓｉｓｉＳａｂｏｕｔｔｈｅｃｈａｒａｃｔｅｒｉｓｔｉｃａｎｄｃｌａｓｓｉｆｉｃａｔｉｏｎｏｆⅡ１ｅｎｅｔｗｏｒｋｒｉｓｋ．Ｔｈｅｎｅｔｗｏｒｋｒｉｓｋｉｓｄｉｆｆｅｒｅｎｔｆｒｏｍｔｒａｄｉｔｉｏｎａｌｒｉｓｋ．ｉｔｗｉｄｅｌｙｅｘｉｓｔｓｉｎｅｖｅｒｙｃｏｍｅｒｏｆｌｉｆｅ，ｉｎｖｏｌｖｅｓａｌｍｏｓｔｅｖｅｒｙｔｒａｄｅ；ｉｔｍａｉｎｌｙｃａｕｓｅｄｂｙｈａｃｋｅｒ、ｃｏｍｐｕｔｅｒｖｉｒｕｓａｎｄｄｅｌｉｂｅｒａｔｅｄｅｓｔｒｏｙｏｆｔｈｅｅｍｐｌｏｙｅｅ．ＴｈｅｎｅｔｗｏｒｋｒｉｓｋｉＳｐｕｒｅｒｉｓｋ．ｉｔＣａｎｍａｋｅｄｉｓａｓｔｅｒａｎｄＣａｎｎｏｔｂｅｆｕｌｌｙｃｏｎｔｒｏｌｌｅｄ．Ｔｈｅｎｅｔｗｏｒｋｒｉｓｋｃａｎｂｅｃｌａｓｓｉｆｉｅｄａｓｎｅｔｗｏｒｋｆａｉｌｕｒｅｒｉｓｋ．ｍｅｄｉａｌａｗｒｉｓｋａｎｄｓａｆｅｒｉｓｋ．ＴｈｅｔｈｉｒｄｐａｒｔｏｆｔｈｅｔｈｅｓｉｓｉＳａｂｏｕｔｈｏｗｔｏａｖｏｉｄｔｈｅｎｅｔｗｏｒｋｒｉｓｋ．Ｆｉｒｓｔｃａｒｒｙｔｈｒｏｕｇｈｖｕｌｎｅｒａｂｉｌｉｔｙａｓｓｅｓｓｍｅｎｔ，ｂｕｉｌｄｕｐｎｅｔｓａｆｅｆｌａｍｅ，ｔｈｅｎｅｓｔａｂｌｉｓｈｍａｔｅｒｉａｌｐｒｏｔｅｃｔｉｖｅｍｅａｓｕｒｅ．Ｔｈｅｍａｉｎｔｅｃｈｎｏｌｏｇｉｃａｌｍｅｔｈｏｄｉｓｆｉｒｅｗａｌｌｔｅｃｈｎｏｌｏｇｙ、ｓａｆｅｔｙｒｏｕｔｅｒ、ＶＮＰｆａｃｉｌｉｔｙ、ｅｎｃｒｙｐｔｉｏｎｔｅｃｈｎｉｑｕｅｓａｎｄｄｉｇｉｔａｌｓｉｇｎａｔｕｒｅ．Ｂｅｓｉｄｅｓ，ｔｏｅｎｓｕｒｅｔｈｅｓａｆｅｔｙｏｆｎｅｔｗｏｒｋ，ｗｅｓｈｏｕｌｄｓｔｒｅｎｇｔｈｅｎｍａｎａｇｅｍｅｎｔ，ｅｓｔａｂｌｉｓｈｓａｆｅｔｙｓｔａｎｄａｒｄａｎｄｒｕｌｅｏｆｌａｗ．

ＴｈｅｌａｓｔｐａｒｔｏｆｔｈｅｔｈｅｓｉｓｉＳａｂｏｕｔｔｈｅｉｎｓｕｒａｎｃｅｏｆｎｅｔｗｏｒｋｒｉｓｋ．Ｔｈｒｏｕｇｈｉｎｓｕｒａｎｃｅｗｅｃａｎｄｉｖｅｒｔｎｅｔｗｏｒｋｒｉｓｋ。ｂｕｔｎｏｔｅｖｅｒｙｒｉｓｋｃａｎｂｅｉｎｓｕｒｅｄ．Ｉｎｔｈｉｓｐａｒｔｔｈｅｔｈｅｓｉｓａｎａｌｙｚｅｔｈｅｃｈａｒａｃｔｅｒｏｆｎｅｔｗｏｒｋｒｉｓｋ

ａｎｄｃｏｎｃｌｕｄｅｔｈａｔｉｔｃａｎｂｅｉｎｓｕｒｅｄ．Ａｌｓｏｔｈｅｔｈｅｓｉｓｉｎｔｒｏｄｕｃｅｔｈｅｐｒｅｓｅｎｔｓｉｔｕａｔｉｏｎｏｆｆｏｒｅｉｇｎｃｏｕｎｔｒｙａｎｄｄｏｍｅｓｔｉｃａｂｏｕｔｎｅｔｗｏｒｋｒｉｓｋｉｎｓｕｒａｎｃｅ，ａｎａｌｙｚｅｓｔｈｅｅｘｉｓｔｐｒｏｂｌｅｍｒｅｌａｔｅｄｔｏｄｅｖｅｌｏｐｍｅｎｔｏｆｎｅｔｗｏｒｋｌｉａｂｉｌｉｔｙｉｎｓｕｒａｎｃｅ，ｂｒｉｎｇｆｏｒｗａｒｄｔｗｏｋｉｎｄｏｆｌｉａｂｉｌｉｔｙｉｎｓｕｒａｎｃｅ．

２

前言

本文主要论述了风险管理的一般理论、网络风险及其防范措施。在论文写作过程中，参考了国内外有关风险管理、网络风险、保险理论以及计算机网络安全方面的许多著作、报纸，在此，特向有关著作的作者表示感谢。此外，齐瑞宗教授对论文的写作给与了详细、具体的指导、修改，特表示诚挚的谢意。还要感谢我的父母、丈夫和女儿，在论文写作过程中给我生活上的照顾和工作上的支持。

引言

就像工业革命的发生一样，一场新的革命正在我们身边发生着。许多经济学家、管理学家向我们宣告地球正在进入一个崭新的信息时代。信息时代的最大特征是互联网的广泛应用，Ｉｎｔｅｍｅｔ和信息高速公路给了人们以无限的想象空间。在Ｉｎｔｅｍｅｔ的发展之初，曾经为科学研究团体所独享，到了２０世纪９０年代，Ｉｎｔｅｍｅｔ开始向商务应用和人们生活领域敞开了怀抱。网络给世界上的人们带来的最大益处之一就是实现了资源共享。ＷｏｒｌｄＷｉｄｅＷｅｂ免费提供了大量的可用信息，无数的大学和实验室在网上提供了个学科的信息，人们不再受地理位置的限制，利用网络技术可以获取各种所需要的信息，浏览新闻、查阅资料。网络的出现，企业可以实现集中管理，信息时时交换；人们不再受地理位置的限制，可通过Ｅ－ｍａｉｌ快捷、经济地进行联系；上班族可以免去每日奔波之苦以传统的方式到公司处理事务，只需将家中的个人电脑通过Ｉｎｔｅｍｅｔ连接到公司的局域网就可以处理各种事务。此外，ＩＣＱ、ｒａｐ３在线游戏等互动娱乐是现代年轻人不可缺少的娱乐项目。网络在改变人们生活的同时也在改变经济结构和规律，在Ｉｎｔｅｍｅｔ上进行销售、购买、生产计划管理、供应链管理和组织工作流程的全新方式成为今天的主题。网上银行、网上政府、网上保险、网上购物、网上支付、网络广告、网上大学……网络，真的如同他的名字一样，散布在我们生活中的每一个角落，将各行各业、将每一个人都笼罩在其中，成为企业和个人获得价值的一条更为便捷的途径。然而技术的发展存在双刃性，网络应用的推广同样会给我们带来很多负面影响，随之产生的网络风险也会愈加严重。黑客事件频频发生，２０００年２月７、８、９闩三天美国多家著名网站先后遭到互联网历史上最严重的计算机黑客攻击。黑客三天的袭击，造成的间接和直接损失达１０亿美元。雅虎是全球第二大搜索引擎网站，每天被浏览页次达４．６５亿次其股票市值达９３０亿美元。２００１年２月７日，Ｙａｈｏｏ！网站遭到了黑客的袭击，致使其网络服务停顿了近３个小时，造成的损失达几百万美元。

同时，网络化使计算机病毒有了新的发展，现在病毒数量已经达到４５０００种，我国每年出现的新病毒的种类也达到３０多个，这使得网络安全变得异常脆弱。１９９９年４月２６日，ＣＩＨ病毒爆发时，仅北京当天就有８０００台电脑损坏。

随着计算机及网络应用的扩展，电脑信息安全所面临的危险和已造成的损失也在成倍地增长。它已经渗透到社会经济、国家安全、军事技术、知识产权、商业秘密乃至个人隐私等各个方面。世界著名的计算机犯罪研究专家帕克说过，现在几乎没有另一种犯罪能像计算机犯罪那样轻而易举地获得巨额财产。计算机犯罪的低风险效益对犯罪分子具有极强的诱惑力，并使其不断地加剧和蔓延。每年计算机犯罪在银行所造成的损失，美国近１００亿美元，德国近５０亿美元，日本、英国近２０亿美元，而且继续呈上升趋势。据不完全统计，我国银行界从１９８６年工行发生第一起计算机犯罪案件至今，计算机犯罪正以３０％的年增长率递增，在１９９１年后有明显上升趋势。仅１９９７年和１９９８年两年，国有商业银行就发生计算机犯罪案件上百起，涉案金额上亿元。

面对网络带来的风险，企业将变得异常脆弱。如何避免和转移网络风险，加强计算机安全，防范计算机犯罪，已成为当今又一崭新的研究课题。本文就分四部来论述风险的一般理论，网络风险的特点，网络风险的防范和网络风险的保险，探寻降低、转移网络风险的方法，减少网络风险带来的损失。

第一节风险管理的一般理论

一、风险

（一）风险的概念

风险是指人们对未来行为的决策及客观条件的不确定性而导致的实际结果与预期结果之间偏离的程度。风险的存在是客观的、确定的，但风险的发生是不确定的。风险是与人们的行为相联系的，这种行为既包括个人的行为，也包括群体或组织的行为；客观环境和条件的不确定性是风险的重要成因，人们可以逐步认识并掌握客观状态变化的规律性，并做出科学的预测和决策，这是风险管理的重要前提；风险的大小取决于实际结果与预期结果偏离的程度，可以用风险度来度量，它与该事件发生的概率及其产生的损失有关。用数学表达式可以表示为：

Ｒ＝ｆ（Ｐ，Ｌ）

其中：Ｒ……风险Ｐ……风险概率Ｌ……．风险损失

（二）风险的要素

风险因素、风险事故和损失是风险的三要素

１、风险因素

风险因素是指引起或增加风险事故发生的机会或影响损失程度的因素。风险因素越多，风险事故发生的机会越大，造成损失的可能性以及损失的幅度也越大。风险形成的过程即为风险因素不断出现和组合的过程。通常将风险因素分为三类：（１）物质风险因素，只影响事物物理功能的有形因素，如刹车失灵、不合理的建筑结构等。

（２）道德风险因素，指与人的品德修养有关的无形因素，如窃取公司文件等。（３）心理风险因素，指与人的心理状态有关的无形因素，如疏忽、侥幸、忽视对事故的防范等。

２、风险事故

风险事故是指直接或间接造成损失发生的偶发事件，又称风险事件。如失窃、

火灾、疾病等。一个或一个以上的风险因素就可能导致风险事故的发生，风险只有通过风险事故的发生才能导致损失。

３、损失

损失是指由于风险事故的发生或风险因素的存在所导致的经济价值的意外丧失或减少。按照损失的对象可分为：财产损失、收入损失、责任损失和额外费用损失。

风险因素、风险事故与损失之间的关系，以及他们与风险之间的关系如图１—１所示：

（三）风险的特征

１、风险存在的客观性和普遍性

风险是不以人的意志为转移的客观存在，人们只能在一定的时间和空间内改变风险存在和发生的条件，降低风险发生的频率和损失幅度，却不能彻底消灭风险。风险的普遍性表现为风险无时不在，无处不在，人类就是在与风险的不断斗争中前进的。随着科学技术的发展，社会的进步，又产生了许多新的风险，而且风险造成的损失越来越大。在当今社会，无论是个人、家庭，还是企业、政府都面临着各种各样的风险

２、风险发生的偶然性和必然性

风险虽是一种客观存在，但就某一具体风险而言，风险的发生具有偶然性，是一种随机现象。风险发生的偶然性意味着风险的发生在时问上具有突发性，在后果上具有灾难性，从而给人们的精神上和心理上带来巨大的忧虑和恐惧。如中国唐山大地震，完全是一种偶然的事故，但造成的灾难是巨大的。虽然单个风险事故的发生具有偶然性，然而通过对大量风险事故的观察和统计分析，其结果呈

４

现出明显的规律性和必然性，所以，风险具有可测性。

３、风险的变动性

风险并不是一成不变的，在一定条件下是可以转化的。随着科学技术的发展，人类社会的进步，一方面，人们认识自然、改造自然、征服自然的能力不断增加，抵抗各种风险事故的能力不断提高，预测和控制风险的能力不断增强从而消除和减少了风险给人们带来的损失。另一方面，旧的风险消失了，新的风险又产生了，而且伴随着现代科学技术所产生的风险导致的损失有时更具有破坏性和灾难性。如对计算机网络系统，计算机犯罪可能使整个网络系统遭到破坏，损失不可估量。不仅如此，现代化生产的高度集中，大规模企业越来越多，使风险更加集中，遭受风险损失的可能性和波及的范围比以往都大的多。因此，我们说风险具有变动性。

（四）风险的分类

从不同的角度对风险进行分类，可以将风险分为：人身风险、财产风险、责任风险；纯粹风险和投机风险：基本风险与特定风险；静态风险与动态风险：自然风险与人为风险；可控风险与不可控风险；可保风险和不可保风险。

二、风险管理

（一）风险管理的概念

风险管理是研究风险发生的规律和风险控制技术的一门管理科学，是指个人、家庭或组织对可能遇到的风险进行识别、估计和评价，并在此基础上有效地控制和处置风险，以最低的成本实现最大安全保障的活动。风险管理的目的是通过对风险的有效管理，预防损失的发生以及减少损失发生的影响程度，以保证获得最大的利益。

（二）风险管理的目标

风险管理的总目标是选择最经济和有效的方法使风险成本最小。它可以分为损失前的目标和损失后的目标。前者是选择最经济有效的方法来减少或避免损失的发生，将损失发生的可能性和严重性降至最低程度；后者是一旦损失发生，尽可能减少直接损失和间接损失，尽快恢复到损失前的状况。

（三）风险管理的必要性

风险管理的必要性主要体现在以下三个方面：

１、巨额损失机会增加

随着科学技术的日新月异，社会化程度的提高，人们活动范围和领域的不断扩大，人们所面临的风险的种类更加繁多，风险的出现也更加频繁，从而大大增加了个人和组织活动的不确定性和财富巨额损失的可能性。

２、维持个人和组织的正常的经济活动

在市场经济条件下，个人和组织经济活动的直接动机在于获得最大限度的利润，经济活动的高风险性迫使个人及其组织必须识别所面临的风险，了解风险的性质以及风险事故发生可能造成的损失后果，并在此基础上制定与实施对自己最有效的风险管理技术，尽量避免可能出现的不利后果以及减少可能的损失，以维持正常的经济活动。

３、人们福利意识增强

随着人民生活水平的提高，为了维持一定的生活水平，提高抵御各种风险损失的能力，迫使人们采取各种措施来提高社会福利水平，如失业保险、养老保险、医疗保险等。

（四）风险管理过程

所有单位和个人都会面临因损失可能性造成的不期事件。风险管理方案是有组织地处理这些损失的方法。首先，风险管理计划要对遭损风险进行识别和衡量；第二步，从可选方案中选取其一，然后执行该决定；第三步，重新估价并更新当前的决定。风险识别是整个风险管理过程中最基本，最重要的环节，通过风险识别了解风险的客观存在，识别风险产生的原因和存在的条件以及损失发生后可能带来的严重后果，增强识别风险、感知风险的能力。识别程序从辨别四类损失开始：

》财产的直接损失。例如，机器设备遭受火灾的损失。

≯收益的间接损失。例如，由于重要机器设备遭受火灾损失，使业务不能开展而造成的收益损失。

≯责任损失。例如，因疏忽伤害顾客而被起诉。

≯关键人物损失。例如，损失一名科研专家，他负责数项重要发明。

６

风险估计是建立在风险识别的基础上对一定风险事故能够造成的全部潜在损失的评估，是风险管理方案的重要一环。在最坏情况下发生的损失就是最大可能损失。最大可能损失很可能是一个单位在正常情况下所遭受损失的最大数额。对最大可能损失的评估包括将直接和间接损失后果通通考虑。一旦对最大潜在损失作了评估，风险管理者就可制定处理损失的完整的综合计划。

风险管理方案的研制包括对一定遭损风险选择一组搭配最为合理的风险管理工具。一旦方案选定，风险管理者一定要保证谨慎执行该决定。如果购买了保险，必须履行合同条款。如果拟定了防损计划必须使之广为宣传。对所有风险管理决定应经常检查。数年前自我承担的损失现在可能要购买保险。相反，多年来一直由保险公司承保的风险，现在也许有能力自我承担。此外，应当依照作决定时预期的结果对所有的决定予以检查。

处理风险有七种方法，风险规避即通过不使自己置于风险事故危害之中的方法来消除损失机会。在损失机会和严重性都很大的情况下适宜采取该方法。风险承担意味着一旦发生风险当事人自己应支付的损失额。因其后果轻微或自己未意识到损失的可能，因而自己承担了风险。自我保险方案要求很多相同风险的集合以便正确地预测损失。自我保险方案也要求在损失发生前准备充足的资金。

损失防范活动可以降低损失机率。损失减少活动是用于减小确已发生的损失的严重性。一个很好的例子就是自动喷淋灭火装置，它虽不能防止火情发生，但可以控制火势蔓延。风险转移意味着一方将遭损风险的后果让另一方承担。风险转移不同于保险之处在于，保险涉及到损失之前保险基金的凑集和损失概率的计算。套头交易就是风险传断ｌ勺范冽，无伤割争删裥够相赁协议也是风险转醐｝句ｔ；式。

当损失机会很低而损失的严重性很高时，保险是最好的风险管理方法。保险涉及到由大量相同遭损风险的集合而产生的可预计性。保险机制允许购买保险者以确定的、较少的保险费来代替大额的、不确定的损失。风险管理者的职能远远超过购买一份保险合同。在损失发生之后，风险管理者必须代表公司的利益，确保所有契约规定的条件都得以落实。

第二节网络风险特点及其表现

一、网络风险的特点

所谓网络风险，是指在Ｉｎｔｅｒｎｅｔ日益成为日常生活重要手段的过程中，因技术、管理及法律等方面的不确定性而造成的损失的不确定性。网络风险具有以下特点：

ｌ、网络风险具有非行业性

非行业性是指风险超出了传统意义上的风险的概念，其产生不仅依赖于市场价格的波动、经济增长的质量，而且依赖于软硬件配置和技术设备的可靠程度。２、网络风险具有外生性

风险的外生性是指对技术性风险的控制和管理能力，在很大程度上取决于其计算机安全技术的先进程度以及所选择的开发商、供应商、咨询或评估公司的水平，而不像传统业务风险那样，仅取决于企业自身的管理水平和内控能力。３、网络风险具有广泛性

网络风险的广泛性是指网络已经遍布社会生活的各个角落，涉及到政府、企业、机关、学校、部队等各行各业，随着计算机的普及，电脑已进入家庭，所以网络风险具有非常广泛的社会性。

４、网络风险具有人为性

人为风险是指由于人们的行为及各种政治、经济活动所造成损失的风险，其中的行为风险是指由于个人行为的反常或不可预料的团体行为所造成损失的风险。网络经常遭受黑客袭击、病毒入侵、内部员工破坏所带来的风险属人为风险。５、网络风险具有纯粹性

纯粹风险是指当风险发生时，只有损失机会而无获利机会的风险。网络风险发生时，小到个人资料丢失，大到国家机密泄漏，都会给个人、企业、国家带来巨大损失。

６、网络风险具有不完全可控性

可控风险是指人们对其形成原因和条件认识清楚，可以预测和采取措施控制其发生的风险。对黑客袭击，人们可以用防火墙；对病毒入侵，人们可以用杀毒软件。从这个意义上来说，网络风险是可以控制的。但是，道高一尺，魔高一丈，防黑客袭击技术总有不严密的地方，所以还是会频频发生黑客袭击事件、病毒破坏事件。因此网络风险具有不完全可控性。

７、网络风险具有关联性

网络风险的关联性是指网络风险扩散非常快，所有连接用户几乎面临相同的风险，只是损失大小不一。例如：２０００年５月４同，一种叫做“Ｉｌｏｖｅｙｏｕ”的计算机病毒开始在全球各地迅速传播。美国国防部、中央情报局、英国国会、通用公司……一时间，众多部ｆ３￥ｎ公司的计算机系统纷纷中的落马。据估计，全球约有４５００万台电脑被感染，造成的直接损失达到４０００多亿。

８、网络风险具有灾难性

越来越多的人已经习惯于工作、生活在互联网环境中，任何关键信息系统运转的中断或者数据的丢失都将导致不可估量的损失。一个已经证实的数据是：网上银行每分钟运转中断成本为７０００美元，企业资源管理系统为１３０００美元，而呼叫中心更是高达２７０００美元！据ＩＤＣ的统计数字表明，美国在２０００年以前的１０年间，发生过灾难的公司中，有５５％当时倒闭，剩下的４５％０７，因为数据丢失，有２９％也在两年之内倒闭，生存下来的仅占１６％。

９、网络风险具有技术性

网络面临的最大风险是计算机犯罪，计算机犯罪智能化程度高，大多数犯罪分子熟悉计算机技术，可运用正常的操作规程，利用合法的帐户进入计算机网络，篡改计算机源程序或数据，高智商的犯罪分子会制造各种各样的病毒、黑客程序对网络安全造成威胁。

ｌＯ、网络风险具有滞后性

网络风险的滞后性是指作为网络运作的媒介……电子数据具有非直观性，它的丢失、更改、复制、泄漏和被非法利用一般难以在第一时间被发现，损失的发现相对损失的发生有一段时期的滞后。

二、网络风险的表现：

网络风险主要表现为以下几个方面：

ｌ、网络故障风险

由于Ｉｎｔｅｒａｃｔ的商业用途波及面越来越广，而网络在承载能力、传输技术或网络设备性能等技术方面还存在着诸多不稳定因素。一旦网络某一环节中断或阻塞，导致网络系统崩溃，除了给网络企业自身带来直接损失外，还可能造成第三方经济损失，尤其是网络服务供应商，这种潜在的面临索赔的风险将比自身直接损失大的多。例如，美国一家主要在线拍卖行的股票值在其网站五天内遭遇三次故障（包括一次２２小时的运行中断）后下跌了１８％，２００１年九月份我国同美国连接的海底光缆出现问题，整个南方各省的互联网应用受到影响，给用户造成一定程度的损失。

２、媒体法律风险

以因特网和信息高速公路为主体的“第四媒体”，在１０～２０之内的影响力将超过报刊、广播和电视。预计到２００５年，我国互联网计算机将达到４０００万台，数据、多媒体和因特网用户将达到两亿，上网人口普及率达到１５％左右。网上出版物及广告涉及到侵害他人版权、隐私权、名誉权等法律问题将会大量存在。网站上发布不适合的内容构成的潜在危险是明显的。例如，一个美国陪审团的一次判决使一家网站大受损失，因为该网站登出了某些”争议人物”的姓名和地址。另外，一些技术上的设计方式也可能造成法律问题的出现，例如，互联网不同服务商网页间的互相“链接”十分普遍，一些网站因为发生版权侵权，就会殃及被“链接”网站，有关这方面的纠纷越来越多

３、安全性风险

安全性风险可以分为

（１）自然灾害：比如火灾、洪水、地震或断电等。

（２）网络自身风险：网络由于自身存在的安全缺陷导致各种各样的攻击发生。从应用和连接方式来看，我国的计算机网络可以分为两类：一类是与Ｉｎｔｅｒｎｅｔ完全隔绝的企业内部专网，一类是连接于Ｉｎｔｅｒｎｅｔ、并利用Ｉｎｔｅｒｎｅｔ作为通信

１０

干线的企业内部网。第一类网络主要面临着内部的计算机犯罪问题，而第二类网络则还要承受来自Ｉｎｔｅｒｎｅｔ的攻击和威胁。

内部网络的不安全主要体现在对网络的违规使用，如越权使用某些业务，查看、修改机密文件或数据库等等，同时也包括一些对计算机系统或网络的恶意攻击。

网络自身的安全风险比较集中地体现在Ｉｎｔｅｒｎｅｔ上。由于Ｉｎｔｅｍｅｔ自身是一个开放系统，它不为任何服务提供安全保障。因此，任何单位的内部网络与Ｉｎｔｅｍｃｔ相连时，就不可避免地引入了各种不安全因素。这种不安全因素可涉及网络的任何层次。这种不安全因素存在的重要原因是：

①信息的聚生性。

当信息以分离的小块形式出现时，它的价值往往不大，当将大量信息聚集在一起时，方显出它的重要性。计算机网络的特点之一就是可以通过各种服务将大量信息收集在一起，并对收集到的信息进行自动、高效的处理，以产生有价值的结果。

②许多计算机系统上都存在安全的漏洞，使网络入侵攻击成为可能。

所谓安全漏洞是操作系统或应用系统设计中的不完善或实现过程中出现的错误，通常被称为ＢＵＧ。这些不完善或错误被网络入侵者发现并利用，能够造成对系统或网络的侵害。

③远程访问使得各种攻击无须到现场就可实现，因而每个主机都能够成为全世界攻击的对象，并且这种攻击经过各种伪装和欺骗，使得回溯跟踪非常困难，甚至无法进行。

④计算机及网络系统配置的复杂以及配置的经常变化，使得管理技术人员会造成配置不当，带来系统不安全。

⑤计算机网络系统不安全的一个最大的原因还是人们没有足够的认识和采取尽可能完善的防护手段。技术人员并没有将安全工作作为重要的经常性工作。他们没有方便的手段来了解网络的工作情况，数据的流通情况和是否发生了不应发生的传输，如：网络攻击、违规访问等等。

（３）网络攻击风险：根据一份权威的对现有的网络攻击和入侵事件统计报告显示：遭受来自国外政府入侵的安全风险指数为２１％，遭受来自黑客入侵的安全风

险指数为４８％、遭受来自竞争对手入侵的安全风险指数为７２％、遭受来自组织内部不满雇员入侵的安全风险指数为８９％。这组数据说明，现有网络安全状况实际上是内忧外患，既得考虑来自企业网络外部的攻击，也得慎重对待来自内部的安全威胁，来自内部的安全威胁甚至会更大。

●外部风险主要是外来人为威胁，包括各种有意、无意的损害。比如来自计算

机恐怖主义、“黑客主义”和战争的破坏；来自企业外部的电子邮件病毒、从前的员工以及黑客的无意入侵；抑或是来自工业间谍、“黑客”的恶意攻击等等。包括网络数据的非法截取、计算机病毒的传播等造成的数据丢失、被窃、网络运行效率低下或瘫痪。具体表现形式有：

①电子扒手。一些被称为“电子扒手”的银行偷窃者专门窃取别人网络地址，这类窃案近年呈迅速上升趋势。因为Ｉｎｔｅｒｎｅｔ服务在给银行和用户提供共享资源的同时，也为窃取用户秘密数据的非法“侵入者”敞开了大门。一些窃贼盗取银行或企业秘密卖给竞争对手，或因商业利益，或因对所在银行或企业不满，甚至因好奇盗取银行和企业密码，浏览企业核心机密。据美国官方统计，银行每年在网络上被偷窃的资金达６０００万美元，而每年在网络上企图电子盗窃作案的总数高达５～１００亿美元之间，“电子扒手”平均作案值是２５万美元，而持枪抢劫银行只有７５００美元。“电子扒手”多数为解读密码的高手，作案手段隐蔽，不易被抓获，通常能够查获的约为六分之一，而只有２％的网络窃贼被抓获。

②网上诈骗。网上诈骗己成为世界上第二种最常见的网络风险。一些不法分子通过发送电子邮件或在互联网上提供各种吸引人的免费资料等引诱互联网用户，当用户接受他们提供的电子邮件或免费资料时，不法分子编制的病毒也随之进入用户的计算机中，并偷偷修改用户的会融软件；当用户使用这些软件进入银行的网址时，修改后的软件就会自动将用户帐号上的钱转移到不法分子的帐号上。网上诈骗包括市场操纵、知情人交易、无照经纪人、投资顾问活动、欺骗性或不正当销售活动、误导进行高科技投资等１０种互联网络诈骗。据北美证券管理者协会调查，网上诈骗每年估计使投资者损失１００亿美元。

⑨电脑黑客。称非法入侵电脑系统者为“黑客”，是美国麻省理工学院的学者首先提出的。克罗地亚的３名中学生在操纵电脑邀游信息高速公路时，进入了美国军方的电脑系统，破译了五角大楼的密码，从一个核数据库中复制了美国军方

１２