信息安全风险评估标准附录介绍-风险计算与评估工具
信息安全风险评估方案
信息安全风险评估方案1. 引言信息安全风险评估是组织或企业评估其信息系统和数据面临的潜在威胁和风险的过程。
在现代社会中，信息安全已经成为企业发展不可或缺的一部分。
为了有效地管理信息安全风险，企业需要制定和实施一套完善的信息安全风险评估方案。
本文将介绍一个基本的信息安全风险评估方案，并提供相关的指导和建议。
2. 信息安全风险评估流程信息安全风险评估流程是评估和识别企业面临的潜在信息安全威胁和风险的关键步骤。
以下是一个基本的信息安全风险评估流程：2.1. 初始规划阶段在初始规划阶段，应制定评估目标和范围，并确定项目组成员。
目标和范围的明确定义可以确保评估的准确性和完整性。
项目组成员应包括安全专家和业务负责人，以确保评估过程的多角度和全面性。
2.2. 风险识别阶段在风险识别阶段，项目组应收集和整理与企业信息系统和数据相关的信息，并分析可能存在的安全威胁和风险。
这可以通过调查、文件审查和访谈等方式完成。
根据风险识别结果，制定风险清单和风险评估模型。
2.3. 风险评估阶段在风险评估阶段，项目组对风险清单中的每一项风险进行评估。
评估的方法可以采用定性和定量两种方式。
定性评估侧重于风险的影响和概率，定量评估则基于风险事件的可能性和影响程度进行数值计算。
2.4. 风险分析与决策阶段在风险分析与决策阶段，项目组应对评估结果进行分析，确定风险的优先级，并提出针对风险的控制和管理措施。
根据风险评估结果，制定信息安全政策和流程，并制定应对不同风险事件的预案与措施。
2.5. 风险监控与反馈阶段在风险监控与反馈阶段，项目组应监控已实施的风险控制措施的有效性，并定期检查评估结果，及时反馈风险变化和新的安全威胁。
3. 信息安全风险评估工具和技术信息安全风险评估工具和技术在评估流程中起到关键的作用。
以下是一些常用的信息安全风险评估工具和技术：3.1. 漏洞扫描工具漏洞扫描工具可以自动检测和识别系统中存在的漏洞和弱点。
利用这些工具，管理员可以及时发现并修复系统中的漏洞，从而降低系统被攻击的风险。
国家标准 信息安全风险评估规范
中华人民共和国国家标准 ICS 35.040 L 80GB/T 20984—2007信息安全技术信息安全风险评估规范Information security technology —Risk assessment specification for information security2007-06-14发布 2007-11-01实施GB/T 20984—2007目次前言 (II)引言 (III)1范围 (1)2规范性引用文件 (1)3术语和定义 (1)4风险评估框架及流程 (3)4.1风险要素关系 (3)4.2风险分析原理 (4)4.3实施流程 (4)5风险评估实施 (5)5.1风险评估准备 (5)5.2资产识别 (7)5.3威胁识别 (9)5.4脆弱性识别 (11)5.5已有安全措施确认 (12)5.6风险分析 (12)5.7风险评估文档记录 (14)6信息系统生命周期各阶段的风险评估 (15)6.1信息系统生命周期概述 (15)6.2规划阶段的风险评估 (15)6.3设计阶段的风险评估 (15)6.4实施阶段的风险评估 (16)6.5运行维护阶段的风险评估 (16)6.6废弃阶段的风险评估 (17)7风险评估的工作形式 (17)7.1概述 (17)7.2自评估 (17)7.3检查评估 (17)附录A （资料性附录）风险的计算方法 (19)A.1 使用矩阵法计算风险 (19)A.2 使用相乘法计算风险 (22)附录B （资料性附录）风险评估的工具 (26)B.1 风险评估与管理工具 (26)B.2 系统基础平台风险评估工具 (27)B.3 风险评估辅助工具 (27)参考文献 (28)IGB/T 20984—2007前言（略）IIGB/T 20984—2007引言随着政府部门、金融机构、企事业单位、商业组织等对信息系统依赖程度的日益增强，信息安全问题受到普遍关注。
运用风险评估去识别安全风险，解决信息安全问题得到了广泛的认识和应用。
信息安全风险评估的方法与工具
信息安全风险评估的方法与工具信息安全风险评估是指对信息系统或网络中的潜在威胁和漏洞进行评估分析，以确定可能的风险并采取相应的措施来保护信息资产。
在当今数字化时代，信息安全已成为各个组织与企业必备的重要环节。
本文将介绍信息安全风险评估的方法与工具。
一、方法一：定性评估定性评估是一种主观的评估方法，它通过判断风险的大小和影响的程度，对风险进行分类并分级，以确定其潜在的危害程度。
定性评估的主要步骤如下：1.确定评估范围：确定需要评估的信息系统或网络的范围，包括相关的硬件设备、软件系统以及人员组织等。
2.收集风险信息：收集与该信息系统或网络相关的风险信息，包括已知的风险和潜在的风险。
3.评估风险的可能性：根据已收集到的风险信息，评估每个风险发生的可能性，通常可以采用概率分析的方法进行评估。
4.评估风险的影响程度：对每个风险的影响程度进行评估，确定风险对信息系统或网络造成的潜在损失。
5.确定风险等级：综合考虑风险的可能性和影响程度，对每个风险进行分类并分级，确定其风险等级。
6.制定应对措施：根据确定的风险等级，制定相应的应对措施，以降低风险的发生概率或减轻风险的损失。
二、方法二：定量评估定量评估是一种客观的评估方法，它通过数值化对风险进行评估，以便更精确地确定风险的大小和影响的程度。
定量评估的主要步骤如下：1.定义评估指标：根据评估的需要，明确评估指标，并制定相应的量化方法和计算公式。
2.收集相关数据：收集与评估指标相关的数据，包括系统的安全配置、攻击事件的发生频率、修复漏洞的时间等。
3.计算风险值：根据收集到的数据，按照评估指标的计算公式，计算系统或网络中各个风险的风险值。
4.比较风险值：根据计算得到的风险值，对风险进行排名或分类，以确定风险的大小和影响的程度。
5.制定防范策略：根据风险的大小和影响的程度，制定相应的防范策略和安全措施，以保护信息系统或网络的安全。
三、常用工具1.风险评估矩阵：风险评估矩阵是一种常用的工具，它通过将风险的可能性和影响程度进行矩阵化，确定风险的等级和优先级，以辅助决策。
信息安全风险评估指南
信息安全风险评估指南引言：随着信息技术的快速发展，信息安全风险日益突出。
为了保障组织的信息安全，进行信息安全风险评估是必不可少的一步。
本文将介绍信息安全风险评估的基本概念，方法和步骤，以及常见的风险评估工具和技术。
一、信息安全风险评估的基本概念1.信息安全风险：指潜在的威胁和漏洞，可能导致组织的信息系统受到损害、丢失或中断的概率和后果。
2.信息安全风险评估：指对组织信息系统和数据进行分析和评估，确定安全风险并提供风险管理建议的过程。
二、信息安全风险评估的方法和步骤1.收集信息：收集组织的相关信息，包括资产清单、网络拓扑图、安全策略和安全漏洞等。
2.风险识别：基于信息收集，识别可能存在的威胁、漏洞和风险。
3.风险分析：对已识别的风险进行分析，确定其潜在的损失概率和影响程度。
5.风险管理建议：提供相应的风险管理建议，包括控制措施和风险处理策略。
6.风险监控和评估：持续监控风险的变化和实施风险管理措施的效果，进行风险再评估。
三、常见的信息安全风险评估工具和技术1. 脆弱性扫描工具（Vulnerability Scanners）：用于扫描网络和系统中的脆弱性，发现潜在的安全漏洞。
2. 渗透测试工具（Penetration Testing Tools）：模拟黑客攻击，检测系统和应用程序的弱点和漏洞。
3. 安全评估框架（Security Assessment Frameworks）：提供一套标准的风险评估方法和工具，帮助组织进行系统的评估和改进。
4. 数据分类和加密技术（Data Classification and Encryption）：对数据进行分类和加密，保护敏感信息的安全性。
5. 安全信息和事件管理系统（Security Information and Event Management System）：集中收集、分析和管理安全事件和日志，提供实时的安全监控和响应。
结论：信息安全风险评估是保障组织信息安全的重要步骤。
信息安全风险评估标准附录介绍-风险计算与评估工具
评估工具举例：COBRA
COBRA：Consultative Objective Bi-Functional Risk Analysis 由C&A Systems Security Ltd推出 的自动化风险管理工具 。 COBRA采用调查表的形式，在PC机上使用，基 COBRA PC 于知识库，类似专家系统的模式。 COBRA不仅具有风险管理功能，还可以用于评估 是否符合BS7799标准、是否符合组织自身制定的 安全策略。
风险计算相乘法示例
资产： 共有两个重要资产，资产A1和资产A2； 资产价值分别是：资产A1=4，资产A2=5； 威胁： 资产A1面临三个主要威胁，威胁T1、威胁T2和威胁T3； 资产A2面临两个主要威胁，威胁T4和威胁T5； 威胁发生频率分别是：威胁T1=1，威胁T2=5，威胁T3=4，威胁 T4=3，威胁T5=4； 脆弱性： 威胁T1可以利用的资产A1存在的一个脆弱性，脆弱性V1； 威胁T2可以利用的资产A1存在的两个脆弱性，脆弱性V2、脆弱性V3； 威胁T3可以利用的资产A1存在的一个脆弱性，脆弱性V4； 威胁T4可以利用的资产A2存在的一个脆弱性，脆弱性V5； 威胁T5可以利用的资产A2存在的一个脆弱性，脆弱性V6。 脆弱性严重程度分别是：脆弱性V1=3，脆弱性V2=1，脆弱性V3=5， 脆弱性V4=4，脆弱性V5=4，脆弱性V6=3。
计算安全事件发生可能性
（1）构建安全事件发生可能性矩阵； （2）根据威胁发生频率值和脆弱性严重程度 值在矩阵中进行对照，确定安全事件发生可 能性值 ； （3）对计算得到的安全风险事件发生可能性 进行等级划分 。
计算安全事件发生可能性
原理 条件
脆弱性严重程度 1 威胁发生 频率 2 3 4 5 1 2 3 5 7 8 2 4 6 9 11 12 3 7 10 12 14 17 4 11 13 16 18 20 5 14 17 20 22 25
信息安全风险评估及评估工具研究
信 息 安 全风 险评 估 的 基 本 要 素 有 资 产 、脆 弱 性 、威 胁 、 风 险等 。安
全风险是指特定的威胁利用资产的一种或多种脆弱性，导致资产的丢失或损 害 的潜在 可 能性 ，即特 定威胁 事件 发生 的可 能性与 后果 的结合 。威胁 指可 能 对 资产 或组 织造 成损 害 的事 故 的潜在 原 因 。脆 弱性 是资 产 的弱 点或 薄弱 点 ， 这些 弱 点可能 被威胁 利用 造成 安全 事件 的发生 ，从而 对 资产造 成损害 。脆 弱
＇信息 安全 风险 评 估
信息 安 全风 险评 估 是 从风 险 管理 角 度 ，综合 利用 相 关评 估 技术 、方 法 和 工 具 ，系统 地分 析 信 息资 产面 临 的 各种 威胁 ，以及 威胁 事件 发 生后 可 能 遭 受 的危 害程 度 ，提 出抵 御 威胁 的 安全 等 级 防护 对策 和 措施 ，从 而最 大 限 度 地 减 少经 济 损 失 和 负面 影 响 。
性 也常 常被称 为漏洞 ，脆 弱性 是资 产本 身所 具有 的。资产 就是被 组织 赋予 了
Ｘ Ｓａ 是 国内最 著名 的综合 扫描器 之一 ， － ｃｎ 它包 括 图形 界面 和命令 行方式 ， Ｘ Ｓ ａ 把扫 描报 告和 安全焦 点 网站相 连接 ，对扫 描 到的每个 漏洞进 行 “ －ｃｎ 风险 等 级 ”评估 ，并 提供漏 洞 描述 、漏洞 溢 出程 序，方 便 网管 测试 、修 补漏洞 。 采 用 多线程方 式对 指定 Ｉ 地址段 （ Ｐ 或单 机） 进行 安全漏 洞检 测 ， 支持插 件
功能 ，提 供 了图形 界面 和命令 行两 种操 作方 式。ｘ Ｓ ａ 扫 描 的内容 ：远程 服 — ｃｎ 务类 型、操 作系 统类 型及 版本 、各 种弱 口令 等 。
信息安全风险评估 一级
信息安全风险评估一级摘要：一、信息安全风险评估概述二、一级信息安全风险评估标准三、一级信息安全风险评估方法与流程四、一级信息安全风险评估实践案例五、提升一级信息安全风险评估能力的建议正文：一、信息安全风险评估概述信息安全风险评估是指对信息系统、网络、数据等各类资产的安全性进行评估，以识别潜在的安全威胁和漏洞，评估安全事件对组织的影响，并为制定安全防护措施提供依据。
在一级信息安全风险评估中，评估对象包括组织内部的信息系统、网络设备、应用软件等。
二、一级信息安全风险评估标准根据我国相关法律法规和行业标准，一级信息安全风险评估应遵循以下几个方面的标准：1.法律法规：包括《网络安全法》、《信息安全法》等，要求组织对信息安全风险进行评估，以确保合规性。
2.信息安全等级保护基本要求：根据信息系统的重要程度，分为五个等级，分别对应不同的安全防护要求。
3.信息安全风险评估规范：明确了风险评估的目标、范围、方法、流程和报告要求。
三、一级信息安全风险评估方法与流程一级信息安全风险评估主要包括以下几个步骤：1.确定评估对象和目标：根据信息系统的业务特性和安全需求，明确评估的范围和目标。
2.收集和分析信息：通过问卷调查、现场勘查、访谈等方式，收集评估对象的相关信息，进行分析。
3.识别安全威胁和风险：分析评估对象的安全漏洞和潜在威胁，确定风险类型和等级。
4.评估安全防护措施的有效性：评估现有安全措施是否能够有效应对安全威胁，提出改进措施。
5.评估安全事件的影响：分析安全事件对业务运营、数据泄露等方面的影响，制定应急响应措施。
6.撰写评估报告：汇总评估结果，提出整改建议，形成评估报告。
四、一级信息安全风险评估实践案例以下是一个一级信息安全风险评估实践案例：某大型金融机构在进行一级信息安全风险评估时，发现网络设备安全配置不完善，存在弱口令、未关闭不必要的服务等问题。
评估组提出了加强设备安全配置、定期更新安全策略等整改措施。
金融机构按照评估报告进行整改，有效降低了信息安全风险。
信息安全风险评估方法论
信息安全风险评估方法论信息安全风险评估是企业和组织在信息系统管理中非常重要的一环。
它的主要目的是识别和评估信息系统遭受各种威胁和风险的可能性，以采取相应的措施来保护信息系统的安全。
本文将介绍信息安全风险评估的方法论，以帮助读者更好地了解和应对信息安全风险。
一、背景介绍信息安全风险评估是在信息安全管理中扮演重要角色的一个过程。
它有助于识别潜在的风险和威胁，以及采取措施来保护信息系统中的重要数据和资源。
通过风险评估，企业能够了解其信息系统的弱点，并确定关键资产的安全级别。
在风险评估中，我们需要明确评估的范围、目标和方法，以便实现准确、有效的结果。
二、信息安全风险评估的步骤1. 制定风险评估计划风险评估计划是评估过程的指南，需要明确评估的目标、范围和时间计划。
在制定计划时，应考虑到公司的特定需求和法规要求，并与相关利益相关者进行充分的沟通。
计划中需要包含详细的工作内容、评估方法和负责人，以确保评估的顺利进行。
2. 识别资产和威胁资产识别是风险评估的重要一环。
在识别资产时，我们需要考虑到其重要性、敏感性和对企业运营的价值。
同时，我们还需要识别潜在的威胁，例如恶意软件、网络攻击和内部威胁等。
识别资产和威胁的目的是为了进一步分析其风险程度。
3. 评估风险的概率和影响力风险评估的核心是评估风险的概率和影响力。
通过评估，我们可以了解潜在风险发生的可能性，并确定其对企业的影响程度。
在评估风险时，我们可以采用量化和定性的方法，例如使用统计数据和专家判断来估计概率，使用程度矩阵和影响矩阵来评估影响力。
4. 优先级排序和制定控制措施根据评估结果，我们可以对风险进行优先级排序，并制定相应的控制措施。
优先级排序是基于潜在风险的概率和影响力来确定的，高优先级的风险需要重点关注和处理。
在制定控制措施时，我们需要考虑到其成本效益和可行性，以及对风险的有效控制和降低。
5. 监控和更新评估结果风险评估是一个动态的过程，需要不断监控和更新。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
风险评估与管理工具
基于信息安全标准的风险评估与管理工具
依据标准或指南的内容为基础，开发相应的评估工具，完成遵 循标准或指南的风险评估过程。如ASSET、CC Toolbox等。
基于知识的风险评估与管理工具
并不仅仅遵循某个单一的标准或指南，而是将各种风险分析方 法进行综合，并结合实践经验，形成风险评估知识库，以此为 基础完成综合评估。如COBRA 、MSAT、 @RISK 等。
计算安全事件的损失
计算风险值
风险结果判定
附录B风险评估工具
根据在风险评估过程中的主要任务和作用原理的不同，风 险评估的工具可以分成 ：
风险评估与管理工具 ：集成了风险评估各类知识和判据的管理信 息系统，以规范风险评估的过程和操作方法；或者是用于收集评 估所需要的数据和资料，基于专家经验，对输入输出进行模型分 析。 系统基础平台风险评估工具 ：主要用于对信息系统的主要部件 （如操作系统、数据库系统、网络设备等）的脆弱性进行分析， 或实施基于脆弱性的攻击。 风险评估辅助工具 ：实现对数据的采集、现状分析和趋势分析等 单项功能，为风险评估各要素的赋值、定级提供依据。
风险计算相乘法示例
资产： 共有两个重要资产，资产A1和资产A2； 资产价值分别是：资产A1=4，资产A2=5； 威胁： 资产A1面临三个主要威胁，威胁T1、威胁T2和威胁T3； 资产A2面临两个主要威胁，威胁T4和威胁T5； 威胁发生频率分别是：威胁T1=1，威胁T2=5，威胁T3=4，威胁 T4=3，威胁T5=4； 脆弱性： 威胁T1可以利用的资产A1存在的一个脆弱性，脆弱性V1； 威胁T2可以利用的资产A1存在的两个脆弱性，脆弱性V2、脆弱性V3； 威胁T3可以利用的资产A1存在的一个脆弱性，脆弱性V4； 威胁T4可以利用的资产A2存在的一个脆弱性，脆弱性V5； 威胁T5可以利用的资产A2存在的一个脆弱性，脆弱性V6。 脆弱性严重程度分别是：脆弱性V1=3，脆弱性V2=1，脆弱性V3=5， 脆弱性V4=4，脆弱性V5=4，脆弱性V6=3。
示例计算过程
以资产A1面临的威胁T1可以利用的脆弱性 V1为例，计算安全风险值 。 z 计算公式使用： = f ( x, y ) = x × y 风险计算过程：
（1）计算安全事件发生可能性 （2）计算安全事件的损失 （3）计算风险值 （4）结果判定
示例计算过程
（1）计算安全事件发生可能性 威胁发生频率：威胁T1=1； 脆弱性严重程度：脆弱性V1=3。 安全事件发生可能性= 1× 3 = 3 （2）计算安全事件的损失 资产价值：资产A1=4； 脆弱性严重程度：脆弱性V1=3。 计算安全事件的损失，安全事件损失= （3）计算风险值 安全事件发生可能性=2； 安全事件损失=3。 安全事件风险值= 3 × 12 = 6 （4）确定风险等级
风险分析原理
威胁识别
威胁出现的频率 安全事件的可能性
脆弱性识别
脆弱性的严重程度 安全事件造成的损失
风险值
资产识别
资产价值
示例计算过程
风险计算过程
（1）计算安全事件发生可能性 （2）计算安全事件造成的损失 （3）计算风险值 （4）结果判定
以下以资产A1面临的威胁T1可以利用的脆 弱性V1为例，计算安全风险值 。
计算安全事件发生可能性
（1）构建安全事件发生可能性矩阵； （2）根据威胁发生频率值和脆弱性严重程度 值在矩阵中进行对照，确定安全事件发生可 能性值 ； （3）对计算得到的安全风险事件发生可能性 进行等级划分 。
计算安全事件发生可能性
原理 条件
脆弱性严重程度 1 威胁发生 频率 2 3 4 5 1 2 3 5 7 8 2 4 6 9 11 12 3 7 10 12 14 17 4 11 13 16 18 20 5 14 17 20 22 25
风险结果判定
根据预设的等级划分规则判定风险结果。 依此类推，得到所有重要资产的风险值，并 根据风险等级划分表，确定风险等级。
风险值 风险等级
1-6 1
7-12 2
13-18 3
19-23 4
24-25 5
风险值等级柱状图
5 4 3 2 1 0
资产A1
பைடு நூலகம்
资产 A2
资产 A3
矩阵法风险计算过程小结
计算安全事件发生可能性
矩阵法特点
矩阵法的特点在于通过构造两两要素计算 矩阵，可以清晰罗列要素的变化趋势，具 备良好灵活性。
矩阵法计算示例
资产： 共有三个重要资产，资产A1、资产A2和资产A3；资产价值分别是： 资产A1=2，资产A2=3，资产A3=5； 威胁： 资产A1面临两个主要威胁，威胁T1和威胁T2；资产A2面临一个主要 威胁，威胁T3；资产A3面临两个主要威胁，威胁T4和T5； 威胁发生频率分别是：威胁T1=2，威胁T2=1，威胁T3=2，威胁 T4=5，威胁T5=4； 脆弱性： 威胁T1可以利用的资产A1存在的两个脆弱性，脆弱性V1和脆弱性V2； 威胁T2可以利用的资产A1存在的三个脆弱性，脆弱性V3、脆弱性V4 和脆弱性V5； 威胁T3可以利用的资产A2存在的两个脆弱性，脆弱性V6和脆弱性V7； 威胁T4可以利用的资产A3存在的一个脆弱性，脆弱性V8； 威胁T5可以利用的资产A3存在的一个脆弱性，脆弱性V9。 脆弱性严重程度分别是：脆弱性V1=2，脆弱性V2=3，脆弱性V3=1， 脆弱性V4=4，脆弱性V5=2，脆弱性V6=4，脆弱性V7=2，脆弱性 V8=3，脆弱性V9=5。
COBRA的风险定性分析方法
威胁
产生 暴露
脆弱 性
导致
影响
攻击
降低攻击 的可能性 降低 保护 发现
威慑性控制
检测性控制
触发
减少
修复性控制
预防性控制
COBRA风险评估过程
1、问题表构建：通过知识库模块构建问题表，采用手动 、问题表构建 或自动方式从各个模块中选择所需的问题，构建针对具体 组织进行评估的问题表。 2、风险评估 、风险评估：通过完成问题表实现整个风险评估过程。 问题表的不同模块由系统不同人完成，各个模块可以不同 时完成，但是评估结果是在全部问题表答案的基础上形成 的。 3、报告生成 、报告生成：通过问题表的回答生成报告，报告包括建 议采取的安全措施、解决方案建议、对于系统相关的每类 风险进行分析排序、对于风险给系统带来的影响分析、风 险与系统潜在影响的联系分析。
原理 条件
脆弱性严重程度 1 资产价值 2 3 4 5 1 2 3 4 5 6 2 4 5 7 8 10 3 6 9 11 14 16 4 10 12 15 19 21 5 13 16 20 22 25
安全事件损失值 安全事件损失等级
1-5 1
6-10 2
11-15 3
16-20 4
21-25 5
计算风险值
矩阵法构造方式
首先需要确定二维计算矩阵，矩阵内各个 要素的值根据具体情况和函数递增情况采 用数学方法确定，然后将两个元素的值在 矩阵中进行比对，行列交叉处即为所确定 的计算结果。 矩阵的计算需要根据实际情况确定，矩阵 内值的计算不一定遵循统一的计算公式， 但必须具有统一的增减趋势，即如果是递 增函数，Z值应随着x与y的值递增，反之亦 然。
基于模型的风险评估与管理工具
对系统各组成部分、安全要素充分研究的基础上，对典型系统 的资产、威胁、脆弱性建立量化或半量化的模型，根据采集信 息的输入，得到评价的结果。 如RA、CORA等。
常用风险评估与管理工具对比
工具 Asseet-1 国家公司 美国 NIST 成熟度 NIST 发布 功能 依据美国 NIST SP 800-26 进行 IT 安全自动化自我评 估 CC Toolbox COBRA MSAT RiskWatch RA 美国 NIAP 美 国 C&A System Security Ltd. 美国 Microsoft 公司 美国 RiskWatch 公司 英国 BSI 成熟产品 成熟产品 BSI 发布 NIAP 发布 成熟产品 依据 CC 进行信息安全自动 化评估 主要依据 ISO 17799 进行风 险评估 主要 进行 定性和 定量 风险 评估 综合 各类 相关标 准进 行风 险评估和风险管理 主要依据 ISO 17799 进行风 险等 级和 控制措 施的 过程 式分析 主 要 依 据 17799 专家系统 各类 信息安全相关 标准 主 要 依 据 17799 ISO ISO CC 标准 NIST SP 800-26
评估工具举例：COBRA
COBRA：Consultative Objective Bi-Functional Risk Analysis 由C&A Systems Security Ltd推出 的自动化风险管理工具 。 COBRA采用调查表的形式，在PC机上使用，基 COBRA PC 于知识库，类似专家系统的模式。 COBRA不仅具有风险管理功能，还可以用于评估 是否符合BS7799标准、是否符合组织自身制定的 安全策略。
（1）构建风险矩阵 ； （2）根据安全事件发生可能性和安全事件 损失在矩阵中进行对照，确定安全事件风 险；
计算风险值
可能性 1 2 损失 3 4 5 1 3 5 6 7 9 2 6 8 9 11 14 3 9 11 13 16 20 4 12 15 17 20 23 5 16 18 21 23 25
风险值 风险等级 1-5 1 6-10 2
4 × 3 = 12
11-15 3
16-20 4
21-25 5
风险结果等级柱状图
5 4 3 2 1 0
资产 A1
资 产 A2
相乘法风险计算过程小结
计算安全事件发生可能性
（1）安全事件发生可能性=威胁发生频率值 脆弱性严重程 度值； （2）对计算得到的安全风险事件发生可能性进行等级划分 。 （1）安全事件损失值=资产价值 脆弱性严重程度值 ； （2）对计算得到的安全事件损失进行等级划分 。 （1）安全事件风险值=安全事件发生可能性 安全事件损失；