企业信息安全风险评估方案
信息安全风险评估方案
信息安全风险评估方案1. 引言信息安全风险评估是组织或企业评估其信息系统和数据面临的潜在威胁和风险的过程。
在现代社会中，信息安全已经成为企业发展不可或缺的一部分。
为了有效地管理信息安全风险，企业需要制定和实施一套完善的信息安全风险评估方案。
本文将介绍一个基本的信息安全风险评估方案，并提供相关的指导和建议。
2. 信息安全风险评估流程信息安全风险评估流程是评估和识别企业面临的潜在信息安全威胁和风险的关键步骤。
以下是一个基本的信息安全风险评估流程：2.1. 初始规划阶段在初始规划阶段，应制定评估目标和范围，并确定项目组成员。
目标和范围的明确定义可以确保评估的准确性和完整性。
项目组成员应包括安全专家和业务负责人，以确保评估过程的多角度和全面性。
2.2. 风险识别阶段在风险识别阶段，项目组应收集和整理与企业信息系统和数据相关的信息，并分析可能存在的安全威胁和风险。
这可以通过调查、文件审查和访谈等方式完成。
根据风险识别结果，制定风险清单和风险评估模型。
2.3. 风险评估阶段在风险评估阶段，项目组对风险清单中的每一项风险进行评估。
评估的方法可以采用定性和定量两种方式。
定性评估侧重于风险的影响和概率，定量评估则基于风险事件的可能性和影响程度进行数值计算。
2.4. 风险分析与决策阶段在风险分析与决策阶段，项目组应对评估结果进行分析，确定风险的优先级，并提出针对风险的控制和管理措施。
根据风险评估结果，制定信息安全政策和流程，并制定应对不同风险事件的预案与措施。
2.5. 风险监控与反馈阶段在风险监控与反馈阶段，项目组应监控已实施的风险控制措施的有效性，并定期检查评估结果，及时反馈风险变化和新的安全威胁。
3. 信息安全风险评估工具和技术信息安全风险评估工具和技术在评估流程中起到关键的作用。
以下是一些常用的信息安全风险评估工具和技术：3.1. 漏洞扫描工具漏洞扫描工具可以自动检测和识别系统中存在的漏洞和弱点。
利用这些工具，管理员可以及时发现并修复系统中的漏洞，从而降低系统被攻击的风险。
企业信息安全风险评估方案
1、信息安全风险评估工作应当贯穿信息系统全生命 周期。在信息系统规划设计阶段，通过信息安全风 险评估工作，可以明确信息系统的安全需求及其安 全目标，有针对性地制定和部署安全措施，从而避 免产生欠保护或过保护的情况。
2、在信息系统建设完成验收时，通过风险评估工作 可以检验信息系统是否实现了所设计的安全功能， 是否满足了信息系统的安全需求并达到预期的安全 目标。
赖于BB来自威胁识别威胁识别与资产识别是何关系？ 点和面：重点识别和全面识别
威胁识别的重点和难点是什么？ 三问：“敌人”在哪儿？效果如何？如何取证？
威胁识别的方法有哪些？ 日志分析 历史安全事件 专家经验 互联网信息检索
21
威胁分类
分为：
人为故意威胁
企业信息安全风险评估方法
企业信息安全风险评估方法企业信息安全是当前企业面临的重要挑战之一。
随着信息技术的快速发展，伴随而来的是网络攻击和数据泄露的风险。
为了确保企业信息安全，必须采取有效的风险评估方法。
本文将介绍几种常用的企业信息安全风险评估方法，帮助企业全面了解并评估其信息安全风险。
一、威胁建模和分析威胁建模和分析是一种常见的信息安全风险评估方法。
它通过对企业信息系统进行建模，并分析系统所面临的各种威胁和攻击方式，来评估信息安全风险。
该方法通常包括以下步骤：1. 确定资产：识别和分类企业的信息资产，包括数据、系统和软件等。
2. 识别威胁：分析企业所面临的内部和外部威胁，如网络攻击、恶意软件和社交工程等。
3. 建立威胁模型：将威胁与资产和攻击者关联起来，建立威胁模型，形成全面的威胁分析。
4. 风险评估：根据威胁模型，评估每种威胁对企业信息安全的影响程度和概率。
通过威胁建模和分析，企业可以获得全面的威胁分析结果，为信息安全风险的应对提供指导。
二、漏洞扫描和安全评估漏洞扫描和安全评估是另一种常用的信息安全风险评估方法。
该方法基于漏洞扫描工具和技术，对企业信息系统进行全面的漏洞扫描，并针对发现的漏洞进行评估和修复。
具体步骤如下：1. 配置扫描工具：选择适合企业的漏洞扫描工具，并进行相应的配置。
2. 执行扫描：运行漏洞扫描工具，对企业信息系统进行扫描，识别潜在的漏洞。
3. 评估漏洞：根据扫描结果，对漏洞的严重程度和可能的影响进行评估。
4. 修复漏洞：根据评估结果，制定相应的修复计划，并及时修复发现的漏洞。
通过漏洞扫描和安全评估，企业可以及时发现并修复系统存在的漏洞，提升信息安全防护水平。
三、风险评估矩阵风险评估矩阵是一种定量化的信息安全风险评估方法。
它将风险的可能性和影响程度组合起来，形成各种不同风险等级，并为每种风险提供相应的应对策略。
使用风险评估矩阵时，需要进行以下步骤：1. 确定风险指标：定义风险的可能性和影响程度的指标。
信息安全风险评估方案
信息安全风险评估方案
信息安全风险评估是一个系统的、持续性的、全面性的工作，它旨在评估组织的信息系统和信息资产所面临的各种威胁和风险。
下面是一个信息安全风险评估的方案，共分为五个步骤。
第一步：确定信息系统和信息资产
首先要确定组织的信息系统和信息资产包括哪些，这包括各类硬件设备、软件系统、数据、网络以及相关的人员和流程等。
第二步：分析威胁和漏洞
在这一步中，需要对已确定的信息系统和信息资产进行分析，找出其所面临的各类威胁和潜在的漏洞。
可以通过分析历史数据、参考相关文献、进行技术测试等方式来确定威胁和漏洞。
第三步：评估风险等级
在这一步中，需要对已识别的威胁和漏洞进行评估，确定其对组织的影响程度和潜在损失，并评估其发生的可能性。
可以使用一些标准方法，如概率和影响矩阵、风险评估矩阵等来评估风险等级。
第四步：制定风险控制措施
在确定了各类威胁和漏洞的风险等级后，下一步是制定相应的风险控制措施。
根据风险等级的不同，可以采取不同的控制措施，如加强网络安全防护措施、完善系统的备份和恢复机制、加强员工的安全意识培养等。
第五步：监控和改进措施
在完成风险控制措施后，还需要对其进行持续的监控和改进。
可以使用一些监控和测量工具来实时监控系统的安全性，对系统的风险等级进行动态调整，并根据监控结果不断改进措施，以提高系统的整体安全性和抵御能力。
以上是一个简要的信息安全风险评估方案，每个步骤都需要细致而周全的工作，以确保对组织的信息系统安全风险进行准确评估，并采取适当的措施进行控制和管理。
信息安全风险评估需求方案
项目目标
2. 根据评估结果，提出相应的解决方案和建议，包括 技术、管理和流程等方面的措施。
4. 为企业制定符合国家法律法规和标准要求的信息安 全管理制度和规范提供参考。
02
CATALOGUE
项目需求分析
风险评估范围与内容
01
02
依据。
03
定期进行风险评估
在项目实施过程中，定期进行风险评估，及时发现和应对新出现的风险
。
风险应对策略与措施
制定风险应对策略
根据风险评估结果，制定相应的风险应对策略， 如规避、转移、减轻、接受等。
制定风险应对措施
针对每一种风险应对策略，制定具体的应对措施 ，包括技术措施、组织措施、人员措施等。
更新风险管理计划
落实风险处置措施
按照制定的风险处置方案，落实各项措施，确保风险得到有效控 制。
提出改进建议
根据风险评估结果，提出针对组织信息安全管理体系的改进建议 ，不断完善和提升信息安全水平。
04
CATALOGUE
项目资源需求
人力资源需求
1 2
安全风险评估团队
需要一支专业的安全风险评估团队，具备安全风 险评估的专业知识和技能，能够全面、准确地评 估信息安全风险。
项目经理
需要一位有经验的项目经理，负责整个项目的规 划、执行和监控，确保项目按时、按质完成。
3
技术支持人员
需要一些技术支持人员，负责系统的维护和技术 问题的解决。
技术资源需求
风险评估工具
需要一套完善的风险评估工具，能够自动或半自动地进行安全风险 评估，提高评估效率和准确性。
安全漏洞扫描器
信息安全风险评估方案DOC
信息安全风险评估方案DOC一、引言信息安全是当前各行各业都面临的重要问题，通过对信息安全风险进行评估可以有效地识别和评价可能导致系统和数据受到损害的风险因素，进而采取相应的预防和应对措施，保护信息系统和数据的安全。
本文将介绍一个信息安全风险评估方案，该方案主要包含四个步骤，包括风险识别、风险分析、风险评估和风险处理，以帮助组织有效地管理信息安全风险。
二、方案内容1.风险识别风险识别是评估信息安全风险的第一步，主要目的是识别可能导致系统和数据受到损害的风险因素。
该步骤可以通过对组织内部和外部环境进行分析，了解潜在的威胁和漏洞来进行。
具体的操作包括：-内部环境分析：分析组织内部系统、网络和数据的安全状况，识别可能存在的风险因素，例如人员疏忽、技术缺陷、不当的权限分配等。
-外部环境分析：分析组织外部的威胁和漏洞，例如网络攻击、恶意软件、社会工程等。
可以参考已知的安全漏洞和事件来分析可能的风险因素。
2.风险分析风险分析是对已经识别出来的风险因素进行分析，确定它们对组织的危害程度和潜在损失的可能性。
该步骤可以通过定量和定性的方法来分析风险，具体的操作包括：-定性分析：根据已经识别出来的风险因素，通过专家判断和经验来评估其危害程度，例如利用风险评估矩阵进行分析。
-定量分析：对可能的损失进行估计和量化，例如使用统计数据和模型进行风险分析，计算潜在的经济损失以及可能导致的业务中断时间等。
3.风险评估风险评估是在风险识别和风险分析的基础上，对风险进行评估和排序，确定优先处理的风险。
该步骤可以通过以下方式进行：-风险评估矩阵：根据风险的危害程度和潜在损失的可能性，进行风险的排序和评估。
-风险等级划分：根据风险的评估结果，将风险分为高、中、低三个等级，以确定处理的优先级。
4.风险处理风险处理是根据风险的评估结果，采取相应的措施来降低风险的发生概率和影响程度。
-风险避免：通过防范措施和强化安全策略，避免风险的发生。
-风险转移：将部分风险通过购买保险等方式转移给第三方。
信息安全风险评估方案
信息安全风险评估方案下面是一个针对信息安全风险评估的方案，它包括五个关键步骤：1.识别信息资产：首先，组织需要明确其重要的信息资产。
这包括客户数据、财务信息、合同等。
通过对信息资产的清单仔细审核，可以确定需要保护的关键数据和系统。
2.评估风险：在这一步骤中，组织需要识别潜在的威胁和脆弱性，以及它们对信息资产的影响程度。
组织可以使用不同的评估方法，如定量和定性评估，来确定每个风险的概率和严重程度。
3.评估现有控制和措施：这一步骤中，组织应该评估其已经实施的安全控制和措施的有效性。
这包括物理安全、网络安全、访问控制等。
通过评估现有的控制和措施，组织可以确定其有效性，以及是否存在潜在的风险。
4.识别和评估潜在的风险：在这一步骤中，组织需要识别可能会导致潜在风险的威胁和脆弱性。
这包括内部威胁（如不当使用、内部攻击等）和外部威胁（如黑客攻击、恶意软件等）。
通过评估这些潜在风险的概率和影响程度，组织可以确定其重要性和优先级。
5.制定风险管理策略：最后，组织需要制定适当的风险管理策略。
这包括确定风险缓解措施、优先级和时间表。
组织还应该考虑到预算限制、资源限制和法规要求等因素。
制定风险管理策略时，组织应当同时关注信息安全技术和人员培训，以保证其有效性。
除了以上的五个步骤，信息安全风险评估还应该有一个监控和反馈的过程。
组织应该定期对已实施的风险缓解措施进行评估，并及时调整策略和措施，以适应变化的风险环境。
总之，信息安全风险评估是一个组织评估其信息系统中存在的潜在风险和脆弱性的过程。
通过采用上述的方案和方法，组织可以全面了解其风险状况，并制定相应的风险管理策略来保护其信息资产。
信息安全风险评估方案
信息安全风险评估方案清晨的阳光透过窗帘的缝隙，洒在键盘上，伴随着咖啡机的咕咕声，我开始构思这个信息安全风险评估方案。
十年的经验告诉我，这是一个需要细心和耐心的过程，我要把所有的细节都考虑到。
我们要明确风险评估的目的。
简单来说，就是找出公司信息系统中的漏洞和风险点，然后制定相应的防护措施。
这就像给公司的网络系统做个体检，看看哪里有问题，然后开个方子治疗。
一、风险评估准备阶段1.确定评估范围：这个阶段，我们要确定评估的范围，包括公司的网络架构、硬件设备、软件系统、数据资源等。
这就像医生先要了解病人的病史和症状。
2.收集信息：我们要收集相关资料，包括公司的安全策略、网络拓扑图、系统配置信息等。
这相当于医生要检查病人的身体各项指标。
3.确定评估方法：评估方法有很多种，比如问卷调查、漏洞扫描、渗透测试等。
我们要根据实际情况，选择合适的方法。
这就好比医生根据病人的情况，选择合适的检查手段。
二、风险评估实施阶段1.问卷调查：通过问卷调查，了解员工对信息安全的认识和操作习惯。
这就像医生询问病人的生活习惯，了解病情的起因。
2.漏洞扫描：使用专业工具，对公司网络设备、系统、应用等进行漏洞扫描。
这就像医生用仪器检查病人的身体，找出潜在的问题。
3.渗透测试：模拟黑客攻击，测试公司信息系统的安全性。
这相当于医生让病人做一些特殊的动作，看看身体是否会出现异常。
三、风险评估分析与报告1.分析数据：整理收集到的数据，分析公司信息系统的安全状况。
这就像医生分析病人的检查结果，找出问题所在。
2.编制报告：根据分析结果，编写风险评估报告。
报告要包括风险评估的结论、存在的问题、风险等级等。
这就好比医生给病人出具的诊断报告。
四、风险评估后续工作1.制定整改措施：针对评估报告中指出的问题，制定相应的整改措施。
这就像医生给病人开具的治疗方案。
2.实施整改：根据整改措施，对公司信息系统进行升级和优化。
这就像病人按照医生的建议，进行治疗。
3.跟踪检查：整改完成后，要定期进行跟踪检查，确保信息安全。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
企业信息安全风险评估方案知识域：信息安全风险评估•:•知识子域：风险评估流程和方法■掌握国家对开展风险评估工作的政策要求■理解风险评估、检查评估和等级保护测评之间的关系掌握风险评估的实施流程：风险评估准备、资产识别、威胁评估、脆弱性评估、已有安全措施确认、风险分析、风险评估文档记录-理解走量风险分析和定性风险分析的区别及优缺点理解自评估和检查评估的区别及优缺点■掌握典型风险计算方法：年度损失值(ALE)、矩阵法、相乘法掌握风险评估工具：风险评估与管理工具、系统基础平台风险评估工具、风险评估辅助工具1、《国家信息化领导小组关于加强信息安全保障工作的意见》仲办发[2003]27号）中明确提出 :”要重视信息安全风险评估工作”对网络与信息系统安全的潜在威胁.薄弱环节、防护措施等进行分析评估，综合考虑网络与信息系统的重要性.涉密程度和面临的信息安全风险等因素，进行相应等级的安全建设和管理〃国家对开展风险评估工作的政2、《国家网络与信息安全协调小组〈关于开展信息安全风险评估工作的意见〉》（国信办［2006 】5号文）中明确规定了风险评估工作的相关要求：风险评估的基本内容和原则开展风险评估工作的有关安排风险评估工作的基本要求K信息安全风险评估工作应当贯穿信息系统全生命周期。
在信息系统规划设计阶段，通过信息安全风险评估工作，可以明确信息系统的安全需求及其安全目标，有针对性地制定和部署安全措施”从而避免产生欠保护或过保护的情况。
2、在信息系统建设完成验收时，通过风险评估工作可以检验信息系统是否实现了所设计的安全功能, 是否满足了信息系统的安全需求并达到预期的安全目标。
3. 由于信息技术的发展.信息系统业务以及所处安全环境的变化，会不断出现新的信息安全风险，因此，在信息系统的运行阶段，应当定期逬行信息安全风险评估，以检验安全措施的有效性以及对安全环境的适应性。
当安全形势发生重大变化或信息系统使命有重大变更时，应及时逬行信息安全风险评估。
4. 信息安全风险评估也是落实等级保护制度的重要手段，应通过信息安全风险评估为信息系统确定安全等级提供依据，根据风险评估的结果检验网络与信息系统的防护水平是否符合等级保护的要求。
K 信息安全风险评估工作敏感性强，涉及系统的关 键资产和核心信息，_旦处理不当”反而可能引入 新的风险”《意见》强调”必须高度重视信息安全 风险评估的组织管理工作2.为规避由于风险评估工作而引入新的安全风险，《意见》提出以下要求：1）参与信息安全风险评 估工作的单位及其有关人员必须遵守国家有关信息 安全的法律法规，并承担相应的责任和义务。
2） 风险评估工作的发起方必须采取相应保密措施”并 与参与评估的有关单位或人员签订具有法律约束力作必须遵循国家的有关规定逬行。
的保密协议。
3）对关系国计民生和社会稳定的基 础信息网络和重要信息系统的信息安全风险评估工3. 加快制定和完善信息安全风险评估有关技术标准＞尽快完善并颁布《信息安全风险评估指南》和《信息安全风险管理指南》等国家标准，各行业主管部门也可根据本行业特点制定相应的技术规范。
4. 要加强信息安全风险评估核心技术.方法和工具的研究与攻关。
5. 要从抓试点开始，逐步探索组织实施和管理的经验，用三生左融在我国基础信息网络和重要信息系统普遍推行信息安全风险评估工作，全面提高我国信息安全的科学管理水平，提升网络和信息系统安全保障能力，为保障和促进我国信息化发展服务。
2071号文件对电子政务提出歸:計卜■ ■■■3、为落实《国家电子政务工巽建设项目管理暂行办循雪尹韻晏圭辭电子政务工程建设项目应开展信息安全风险评估工作评值的主要内容应包含：资产.威胁.脆弱性■已有的安峑措施和残余风险的影响等项目建设单位应在试运行期间开展风险评估工作，作为项目验收的重要依据项目验收申请时，应提交信息安全风险评估报告系统投入运行后，应定期开展信息安全风险评估风险评估工作承担单位厂涉密系统非涉密系统、旨家保密局涉密言息系统安全保彗测评中心中国信息安全测评中心国家信息技术安全研究中心公安部信息安全等级保护中心险估业伍风评专队•:•发改委要求：_次测评工作”提交两个测评报告,即风险评估报告和等保测评报告•:•风险评估报告的格式由中国信息安全测评中心和国家信息技术安全研究中心牵头制定.基本格式参照原国信办检查评估的报告•等保测评报告的格式由等级保护的主管部门负责制定•:•等保测评、安全检查都是在既定安全基线的基础上开展的符合性测评，其中等保测评是符合国家安全要求的测评，安全检查是符合行业主管安全要求的符合性测评。
•:•而风险评估是在国家、行业安全要求的基础上，以被评估系统特定安全要求为目标而开展的风险识别、风险分析、风险评价活动。
风险评估实施流程■■■■肚喙豳偉+醐硕誥H細也一个简化的风险评估流程：准备(Readiness).识别计算(Calculation)、报告(Report)准备■资料审核■ SLA ■工作计划 ■组队风险评估准备工作准备工作中要注意的问题准备识别计算报告■■■■报告■整改建议 ■各类文档(Realization)、 计算■威胁概率 ■事件影响 ■风险定级产胁洞 别资威漏 识■■ ■■相亲：前期交流（成功案例简介、测评机构资质简介、被测系统大致规模、测评服务费用测算…）■订婚：服务水平协'议SLA （获取详细资料的前提，对方的授权、双方的义务，可和保密协议整合…）■甲方礼单：资料审核（明确系统范围、为现场测评制订问卷清单…）■乙方礼单：工作计划（案例分析综合组、管理组、网络组…）进场准备（进场通知，如对方或第三方人员；设备准备，如工具等，标识佩戴…）现场测评现场测评工作要注意的问题■首次会议（必须），听取对方高管的情况简介， 向被测单位有关人员说明此次任务、测评计划介绍、 双方测评人员的相互认识...■问询技巧（直接提问，如业务重要性；间接提问, 如安全 事件；反向提问，适合于所有方面）■资料核对（拓扑核对，管理体系文档，设计文档, 设备台账…）■现场检测（测试过程记录、抓屏、数据提取••） ■末次会议（必须）,向对方高管简要总结现场测 评的初步结论，但切忌做最终结论■ ■■■■资产识别在整个风险评估中起什么作用？两点：是整个风险评估工作的起点和终点■资产识别的重点和难点是什么？一线：业务战略i信息化战略T系统特征（管理/技术）■资产识别的方法有哪些？资产分类：树状法。
自然形态分类（勾画资产树：管理、技术…逐步往下细化）；信息形态分类（信息环境、信息载体、信息）20资产识别信息系统系统组件A依赖于B0?威胁识别识别■威胁识别的重点和难点是什么？三问："敌人"在哪儿？效果如何？如何取证? ■威胁识别的方法有哪些？日志分析历史安全事件专家经验■■■■互联网信息检索威胁分类■人为故意威胁・威胁意图评估、威胁能力评估、操作限制评估、威 胁源特点评估 ■人为非故意威胁■判定威胁源、评估威胁源特点、评估威胁源环境、 评估事故发生时间 ■自然威胁地震、海啸、洪水。
■ ■■■■脆弱性识别与威胁识别是何关系？验证：以资产为对象，对威胁识别进行验证■脆弱性识别的难点是什么？三性：隐蔽性、欺骗性、复杂性■脆弱性识别的方法有哪些？脆弱性分类：管理脆弱性。
结构脆弱性（如安全域划分不当）,操作脆弱性（如安全审计员业务生疏）；技术脆弱性。
脆弱性识别内容♦考虑：-防护性措施-威慑性措施-预警性措施-检测性措施-应急处理性措施■ ■■❖GB/T 20984-2007《信息安全风险评估规范》给出信息安全风险分析思路风险值二R (A, T z V) = R(L(T, V)z F(la z Va ))o其中，R表示安全风险计算函数；A表示资产；T表示威胁；V表示脆弱性；I a表示安全事件所作用的资产价值;Va表示脆弱性严重程度;L表示威胁利用资产的脆弱性导致安全事件的可能性；F表示安全事件发生后造成的损失。
定量分析与定性分析■ ■■■方法优点缺点定性2.3.4.5.简易的计算方式不必精确算出资产价值不需得到量化的威胁发生率非技术或非安全背景的员工也能轻易参与流程和报告形式比较有弹性1. 本质上是非常主观的2. 对关键资产的财务价值评估参考性较低3. 缺乏对风险降低的成本分析结果建立在独立客观的程序或量化风险计算方法复杂指标上 2.需要自动化工具及相当的基EI 疋車 2 •大部分的工作集中在制定资产价值和础知识减缓可能风险3 •主要目的是做成本效益的审核3. 投入大4. 个人难以执行•:•步骤1-评估资产：根据资产价值（AV产总价值及资产损失对财务的直接和间接影响•步骤2-确定单一预期损失SLESLE是指发生一次风险引起的收入损失总额。
SLE是分酉己给单个事件的金额，代表一个具体威胁利用漏洞时将面临的潜在损失。
（SLE类似于定性风险分析的影响。
）将资产价值与暴露系数相乘（EF）计算出SLE。
暴露系数表示为现实威胁对某个资产造成的损失百分比。
•:•步骤3 -确定年发生率AROARO是一年中风险发生的次数.■ ■■•:•步骤4-确定年预期损失ALE （财务价值*频率）ALE 是不采取任何减轻风险的措施在一年中可能损失的总金额。
SLE乘以ARO即可计算出该值o ALE类似于定量风险分析的相对级别。
♦步骤5-确定控制成本控制成本就是为了规避企业所存在风险的发生而应投入的费用.•:•步骤6-安全投资收益ROSI■（实施控制前的ALE）-（实施控制后的ALE）-（年控制成本）二ROSI后果或影响的定性量度（示例）可能性的定性量度（示例）■ ■■■风险分析矩阵一风险程度E:极度风险H:高风险M:中等风险L:低风险•根据预设的等级划分规则判定风险结果。
•:•依此类推，得到所有重要资产的风险值，并根据风险等级划分表，确定风险等级。
0?(1)计算安全事件发生可能性 威胁发生频率：威胁T21； 脆弱性严重程度：脆弱性V1二3。
安全事件发生可能性二脆弱性严重程度：脆弱性V1二3。
计算安全事件的损失，安全事件损失二 (3)计算风险值 安全事件发生可能性二2; 安全事件损失3安全事件风险值二风险值 1-5 6-10 11-15 16-20 21-25 风险等级12345V3xV12=6定性分析方法■相乘法■■■■(4)确走风险等级定性分析与定量分析。
-风险排名具有可见性，易于理解O* -更容易达成一致意见。
_无需量化威胁发生频率。
-无需确定资产的财务价值。
0 _更便于不是安全或计算机专家的人员参与。
◎-重要风险之间没有显著区别。
◎-因为没有成本效益分析，很难证明控制措施的投资是合理的。
•-结果取决于风险管理小组人员的主观判断。
方法优点。
按经济影响排列风险优先级；按经济价值排列资产价值。