風險分析及評估精品(七篇)

序論：寫作是一種深度的自我表達。它要求我們深入探索自己的思想和情感，挖掘那些隱藏在內心深處的真相，好投稿為您帶來了七篇風險分析及評估范文，愿它們成為您寫作過程中的靈感催化劑，助力您的創作。

篇(1)

風險分析管理部門

新西蘭農林部(MAF)是新西蘭風險分析的主要管理部門，風險分析一般由MAF或MAF所管理的外部咨詢機構來承擔。在風險分析實施過程中，新西蘭成立專門的風險分析項目管理組負責，該小組由項目管理者、項目團隊組成。項目管理者在風險分析中的職責是：進行內部聯絡、公布利益相關者對風險分析的咨詢、收集利益相關者提交的反饋意見、出具風險分析報告；由項目團隊具體實施風險分析工作等。風險分析報告的初稿完成后，需要爭取公眾和利益相關方的評議，評議的時間一般是6周，之后也要對所有提出的評議意見進行分析。完整的風險分析報告通過項目組、工作組以及外部顧問的認可，并考慮了各個利害關系方的意見后公開風險分析結果，具有高度的透明度和可操作性。

風險分析范圍

新西蘭的風險分析主要集中在有機體或病害、物品或商品、傳播途徑、運輸工具等。對進口貨物的風險分析主要是指對進入到新西蘭的有關物品、運輸工具等所攜帶的有機體、病害進行分析。物品可能是一系列的商品或單一商品；有害生物可能是一種或多種。

風險分析框架

新西蘭風險分析框架是依據現有的國際標準OIE（國際獸疫局）和IPPC（國際植物保護公約組織)框架制定的，并在某些方面對這些標準進行了擴展。風險分析框架包括：危害確定(Hazard Identification)、風險評估(Risk Assessment)、風險管理(Risk Management)、風險交流和記錄(Risk Communication and Documentation)。

危害確定是風險評估之前必須的首要步驟，確定可能或潛在可能傳入新西蘭的、與傳播途徑有關的商品、有機體或病害所造成的風險。在確定危害之前，需要收集和記錄大量正確的信息。危害確定包括以下三個方面：與特定有機體或病害傳入的風險分析；與傳播途徑的風險；審議或修訂了措施和政策的風險分析。

在風險評估步驟中，風險分析專家對新西蘭境內潛在危害的進入、暴露和定殖可能性以及對環境、經濟和人類造成的健康影響進行評估，目的是確定代表不可接受的風險水平的危害。風險評估包括四個步驟：進入可能性評估、暴露和定殖可能性的評估、結果的評估、風險估計。

風險管理是指有效地管理商品或有機體所帶來的風險，將風險降低至可以接受的水平。

風險交流是在風險分析過程中將風險信息和風險結果雙向、多邊交換和傳達，主要是指有關貿易部門與貿易部門的交流。

風險分析的方法

新西蘭的風險分析所采用的方法是定性方法和定量方法，實際中還會用到半定量方法。定性分析中由于缺乏必要的信息，常常會加入專家的一些觀點。半定量方法是指對定性的程度給予部分量化，但所給出的數字與可能性或結果的實際狀況不一定能構成準確的關系。

無論采用哪種方法，都會有一定的主觀性，必須記錄所有的信息、數據、假設、未知因素、方法和結果，所有的討論和結論必須合理和合乎邏輯。

篇(2)

方法是可以較好的實現項目的風險控制與管理。

關鍵詞：風險控制與管理 風險分析 項目風險管理信息系統

中圖分類號：X820文獻標識碼： A

引言

項目的風險貫穿于項目的全生命周期，存在不確定性和可變性。海洋工程屬于高投入、高技術、高風險的行業，在海洋工程項目運行過程中如何通過合理的評估方法進行風險識別，使用有效和科學的風險管理手段進行風險管控尤為重要。本文以荔灣3-1項目為例，結合本項目的特點，闡述項目的風險控制與管理。

0.項目概述和風險特點

南海深水天然氣工程荔灣3-1項目是中國目前最大、水深最深的海上氣田，位于南海東部海域珠江口盆地，距香港東南約 250公里，水深約1350米至 1500米。在190米水深處建設一座約30000噸的導管架和約32000噸的中心平臺，通過6"海底管線連接1350米至1500米水深處的海底采油設施，通過30"海底管線將天然氣輸送至位于珠海高欄島的陸地終端。本項目的開發示意圖如下：

圖1：荔灣3-1項目開發示意圖

1.項目風險分析

根據上述項目的特點，采取定性分析和定量分析相結合的方式對項目風險進行評估，項目的風險分析評估分為五個步驟：

1)風險管理過程啟動

首先是建立項目風險評估的總體框架，為后續的風險識別，風險分析及設計應對措施等工作奠定基礎。主要包括建立項目風險評估團隊，識別風險評估指標以及定義風險可能性與后果尺度等內容。

表3 ：項目風險可能性尺度表

2）風險識別

本項目利用頭腦風暴法、項目團隊集中討論、歷史數據分析、訪談、行業調研相結合的方式對項目風險進行識別，建立風險清單。本項目風險清單的建立結合了本公司工程建設項目的一些典型風險，并借鑒國內外項目風險管理的最佳實踐，通過全面的風險識別供識別出項目風險約400條。

3）風險分析

在風險識別之后，項目團隊對識別出的風險事項進行風險分析。本項目采用定性與定量相結合的風險分析方法，其中定性風險分析方法采用風險因素取值評定法和風險矩陣方法，定量分析方法采用蒙特卡洛模擬法。

本項目定性風險分析根據事先確定的標準和準則，確定風險的概率和影響。通過采用邀請相關人員召開會議或進行訪談等方式對風險進行評估。項目組根據自身習慣和情況，確定哪種風險概率和后果的組合可被評定為哪種風險等級，如高風險、中等風險和低風險，并分別賦予其不同的顏色，進行排序，最后將識別出的各種風險納入風險矩陣中。本項目結合了國際最佳實踐的做法后采用5×5矩陣，并將風險等級劃分為四級，分別為：關鍵風險、 重大風險、中等風險和可接受風險，具體劃分如表 6 所示：

表6：風險等級劃分表

本項目的定量風險分析采用蒙特卡洛方法對項目的成本和進度進行分析，其中進度風險分析采用 PDM 進度計劃作為模型，成本風險分析采用 WBS 作為模型。因費用分析為公司保密內容不便敘述，圖2為項目進度定量分析的風險因素龍卷風圖。

圖2：項目風險因素龍卷風圖

4）風險應對

風險應對措施采用風險規避、風險轉移、風險控制、風險自擔四種策略。本項目風險應對措施的識別主要由項目團隊各專業相關人員進行，部分借助專家來完成。本項目主要采用項目團隊集中討論、訪談各專業相關人員及外部咨詢專家、行業調研方法制定風險應對措施。

在制定了風險應對措施之后，對采取應對措施后的殘余風險進行分析，如果殘余風險仍然不可接受，則需要重新制定風險應對措施，最終保證殘余風險降低到可接受范圍內。 最后，在確定了風險應對措施和殘余風險可接受的情況下，將風險應對措施，風險責任部門或人員，以及殘余風險描述，進行詳細的記錄并存檔。

2.項目風險控制與管理

項目的風險管理最重要的環節為風險的監測、控制和執行，將分析評估出的項目風險和應對措施真正貫徹執行下去，使風險管理融入到項目日常運作流程中，形成項目管理中不可缺少的一環，同時針對風險的變化性在項目全生命周期里持續對項目工作進行監督以及尋找新風險和變化的風險。為此，本項目引入項目風險管理信息系統加強風險管理過程和動態管理，達到順利實現項目目標。

項目的風險管理流程

圖3：項目風險管理流程

工程項目風險管理信息系統的引入

工程項目的風險種類復雜、風險影響程度各異，并且可能互相轉化。因此，項目風險必須按照緊急程度、影響程度進行細分，采用不同的方法分層次、有重點的進行風險應對，形成梯度管理。如果采用手工管理，將是一項復雜的工作，并且不利于風險跟蹤和責任落實。采用風險信息管理系統后主要優點有以下幾點：

a)有利于梯度控制――分類檢索方便

利用風險信息管理系統后，風險管理工作可以輕松實現大量風險的評估、量化、分類及應對監控。

b)便于風險跟蹤和預警提示――風險提示清晰

風險應對的關鍵是重點風險控制措施及時有效，提示風險不被遺忘。由于本項目的施工地點分散、人員不集中，如果手工操作，要做到對各項風險控制措施及時跟蹤、及時反饋將比較困難。提示性風險就更容易被忽視，“項目風險管理信息系統”可充分發揮信息化系統溝通便捷、自動提示作用。

c)有利于責任落實――公開透明

由于風險管理信息系統的資源開放性和共享性，本項目把風險管理作為日常工作的一部分，保證了風險管理的時效性，風險管理很重要的一點是全員參與，為此引入“項目風險管理信息系統”后項目組全體員工根據職責和分工劃分為四種角色：風險登記人、風險責任人、風險審核人、風險人，項目風險管理信息系統的操作界面如下：

圖4：項目風險管理信息系統操作界面

篇(3)

關鍵詞：自然災害；風險評估；態勢評估；不確定性信息

DOI：10.16640/ki.37-1222/t.2017.02.220

1 自然災害不確定性評估

對于自然災害不確定性的分析和處理很多學者開展了此方面的研究。Karimi等[1]探討了不精確概率特別是模糊概率對于評估自然災害發生的可能性的影響。左其亭等[2]基于模糊概率和風險分析計算方法，從定量的角度對帶有模糊性的風險問題進行了研究，并應用于洪水風險分析實踐中。魏一鳴等[3]從系統論的角度分析了洪水危險性、承災體易損性以及洪水災害災情評估等核心內容，構建了洪水災害風險分析的理論框架。黃崇福[4]提出了一種計算機仿真方法，用來檢驗計算模糊風險的模型是否可靠。任魯川[5]歸納了災害風險分析的內容及災害風險分析的數學模型，將風險辨識、風險估算和風險評價作為風險分析的三個重要環節。劉德輔等[6]運用灰色理論、隨機模擬等方法進行了洪水、風暴潮、巨浪等環境因素的計算，并進行了災害經濟損失的風險分析。程昌秀等[7]提出了基于地理信息系統的洪災風險區劃指標模型，并以降雨、地形和區域社會經濟易損性為主要指標，得出遼河流域洪災風險綜合區劃。陳報章等[8]對災害風險度和災害損失度的相對等級進行了劃分，提出了單一災種和復合災種災害風險損失度相對等級的劃分方案和劃分方法。

2 自然災害態勢評估

根據非常規突發事件的定義，自然災害屬于非常規突發事件，即前兆不充分、具有復雜性和嚴重的后果，應用常規管理處置模型具有很大的困難的事件。災害評估是指損害和影響評估，根據應急原則，非常規處置可分為預處置、中期處置和后處置三個部分。各部分的目標能被定位為突發事件發生時快速的災害評估及應急預案啟動，連續的災害評估的應急管理過程，當突發事件趨向正常時的綜合損失評估。整個災害評估過程存在動態性，表現在兩個方面：一方面，不同的信息特征和災害評估目標要求不同的評估方法；另一方面，災害評估過程需要不斷被更新。

（1）預處理過程的快速災害評估方法：此時的評估又稱為緊急事態快速評估，指自然災害發生后，確定最初拯救生命和維持生命的需求，及確定逼近危險的全部直接相關行動。這時的信息特征是模糊的、缺失的或者冗余的，具體涉及到救生需要、重要基礎設施的狀況、人員轉移的數量及連帶事件信息等。快速的災害評估是估計人員傷亡、財產、經濟和其他損失，確定事件的類型和程度并配置相應的計劃，從而采取適當的應急行動、分配有限的資源及請求快速而準確的援助。應用的主要方法包括統計分析、3S及模糊數學等。其中，統計分析是快速災害評估的重要方法。當然，經驗評估方法和相關性評估也是可利用的。此外，遙感（RS）技術、地理信息系統（GIS）及全球定位系統（GPS）也是預處理中有效的方法，可補充數據的不足，并具有對信息實時記錄及分析后期的突發事件的功能。

（2）中期處理階段的態勢評估方法：伴隨著時間的發展，災害信息是冗余的、大量的、多樣的、半定量的和定量的，并有多個不同的來源，評估需要不斷的被動態性的修改。這時的災害評估的處理過程是一種態勢評估過程，“狀態”指的是突發事件當前的狀態，“態勢”指的是基于未來的當前狀態的發展趨向。該災害評估階段一方面是連續的、及時的評估當前的狀態；另一方面，這個階段的評估是獲得和評估影響將來趨向的大多數關鍵信息，目標是采取適合的減災措施并將態勢控制在一定范圍內。態勢評估分為評估當前的狀態和將來的狀態，如貝葉斯理論、相關度理論、博弈論、改進的FAHP方法、搜索算法、專家系統和機器學習方法等都能被用在當前的狀態評估中。將來的狀態評估，主要集中在情景分析，即假定某種現象或某種趨勢將持續到未來的前提下，對預測對象可能出現的情況或引起的后果作出預測的方法。通常用來對預測對象的未來發展作出種種設想或預計，是一種直觀的定性預測方法。這種方法更適合動態性、復雜性的災害特征，更有利于理解突發事件管理的“情景-響應”模式。

（3）后置處理的災害整合評估方法：即綜合損失評估方法，包括直接損害和經濟損失評估、間接經濟損失評估、社會-經濟影響評估及心理影響評估幾個部分。其中，心理影響包括受害者和參與災害應對人們產生的心理疾患，一般只能通過對其影響面和程度作估計分析，很難準確評估。

參考文獻：

[1]Karimi I，Huellermeier E，Meskouris K.A fuzzy-probabilistic earthquake risk assessment system[J].Soft Computing，2007， 11（03）：229-238.

[2]左其亭，吳澤寧.模糊風險計算模型及其應用研究[J].鄭州工業大學學報，2001，22（03）.

[3]魏一鳴，范英，金菊良.洪水災害災害風險分析的系統理論[J]. 管理科學學報，2001，4（02）.

[4]黃崇福.用計算機仿真技術檢驗自然災害模糊風險模型[J].自然災害學報，2002，10（01）.

[5]任魯川.區域自然災害風險分析研究進展[J].地球科學進展， 1999，14（03）：243-245.

[6]劉德輔，逯義軍，李奉利，荊昆.基于不確定性理論的風險分析法及其在防波堤設計中的應用[C].第十二屆中國海岸工程學術研討會.昆明：中國海洋工程學會，2005：378-384.

[7]程昌秀，周成虎，陸鋒.協同GIS軟件體系結構研究[J].地球信息科學，2001，6（01）.

篇(4)

Abstract： In the process of urbanization in China， the population density is getting higher and higher， which causes the travel difficult of people. In order to ensure the convenience of urban transport， many cities use the way to build the subway to alleviate the traffic pressure and ensure smooth traffic. However， in the operation of the subway， with the increase in the number of passengers， there will be some security risks， which have a serious threat to people's lives and property， so we need to make assessment and management of the safety risk in subway operations to avoid the security threats faced during subway operations. This paper analyzes the risk assessment and management of subway operational safety.

關鍵詞： 地鐵運營安全；風險評估；風險管理

Key words： subway operation safety；risk assessment；risk management

中圖分類號：F572 文獻標識碼：A 文章編號：1006-4311（2017）23-0054-03

0 引言

城市規模不斷擴大以及城市人口數量的增加，導致巨大的交通壓力成為困擾城市發展的主要因素。所以，在許多城市的規劃與建設中，都將地鐵建設作為重點內容。近幾年，我國地鐵事故發生率逐漸升高，這些事故不僅為地鐵運營部門帶來重大經濟損失，而且嚴重威脅了人們的生命財產安全。因此，在地鐵運營過程中，必須對存在的安全風險進行評估與管理，提高地鐵運行的穩定性與安全性，確保地鐵的作用能夠得以發揮。

1 地鐵運營風險管理的基本流程與方法

運營風險管理是研究風險發生規律及風控技術的一門科學，具有前瞻性、目標性、計劃性、經濟性和管理性等特點。一般來說，地鐵運營風險管理過程不外乎風險識別、風險評估、風險等級劃分和風險控制四個關鍵環節：

1.1 風險識別

地鐵運營風險識別就是找出地鐵運營過程中影響安全的主要因素，是風險管理流程中的第一個步驟。在風險識別的過程中，必須確定地鐵運營系統的組成、特點以及各組成部分的關系，并全面檢查這些環節中的不確定性。與此同時，還要分析不同種類風險對地鐵正常運營造成的威脅，并確定風險作用范圍，以便針對不同的風險采取不同的措施。

1.2 風險分析

地鐵運營風險分析就是對地鐵運營風險可能造成的后果進行全面分析。風險分析需要對個別的風險元素進行分析，并量化這些元素，形成一個風險清單，以便針對這些風險制定相應的行動計劃。在科學技術不斷進步的同時，對地鐵運營分析的難度越來越高，只有不斷提高風險分析水平，才能夠采取有效的措施降低風險。

1.3 風險評估

地鐵運營風險評估就是對地鐵運營風險能夠導致的后果進行評價，并根據這些后果的嚴重程度進行排序，同時考慮與其對應的處理措施，去頂風險、成本與效益三者之間的關系，其關鍵在于考慮風險對整體目標的影響。綜合評估地鐵運營風險時，首先應該充分預測管理決策在實施期間所伴生的后果及其可能產生的危害、后果是否可以被接受等等。風險的嚴重程度不同，就會造成優先處理的順序不同。

1.4 風險決策

地鐵運營風險決策就是以風險分析與風險評估的結果為基礎，針對風險制定相應的措施，降低風險對地鐵運營的影響。一般來講，風險策略主要有以下兩種：第一，采取合理的措施，最大限度地降低風險帶來的影與危害，對其進行有效的控制。第二，采取適當的措施轉移風險，降低風險對運營主體的危害，但是，不是所有風險都能夠被轉移。在風險決策的過程中，必須考慮成本與效益之間的關系，確保風險決策成為最佳效益方案。

此外，在地鐵運營風險中，一些風險并不是一成不變的，只有對這些風險進行跟蹤，才能夠根據不同的情況進行風險決策。

篇(5)

關鍵詞:電力企業 投資 融資 風險 探討分析

一、電力企業投融資及風險分析

電力企業的投融資是指通過整合企業資金及管理進行項目開發，使開發階段的項目獲得快速增長,然后進行投入運營或產權交易等形式來確保預期利潤的實現。風險分析的內容是處理在投融資活動中遇到的一切不穩定因素。風險分析是一種問題處理方法,風險的識別、估計及控制處理是風險分析處理問題這個過程的構成元素，其分析的對象是投融資中的技術、商業和經濟行為。另外，還要考慮國家的政策風險。

二、電力企業投融資的風險因素分析

電力企業投融資中的風險主要產生于電力技術演變為商品化的過程及單個商品到大規模差異性經濟規?；@兩個部分, 在這兩個階段里企業面臨的風險呈現出不同的性質與狀態。以下是電力企業在這兩階段里產生的若干種風險：

(一)國家的政策風險

目前由于國家的宏觀調控政策，許多電力投資項目長時間處于前期項目階段而得不到國家的核準，浪費了大量的前期費用資金，待到國家核準項目開工后，極大地增加了電力投資成本。另外，國家的電價政策、貨幣政策等等都給電力企業投融資帶來很大的不確定性風險。

(二)技術風險

技術風險是指電力企業在項目運行中由于技術上的掌握力度不足而面臨可能失敗的風險。電力企業面臨技術風險的嚴重性, 是由施工人員所掌握的技術水平及質量來直接決定的。電力企業職工構成的技術體系，是企業所具備發展能力的體現。企業管理者必須明白雖然學習并掌握新型的技術會面臨很大的困難及風險，但是在掌握之后，必定會獲得巨大的競爭優勢及經濟效益。

(三)建設風險

建設風險在電力企業的投融資風險分析與評估中占據著非常重要的作用，企業是否能夠合理的分析并解決在投融資過程中存在的建設風險，將會直接影響其是否能夠順利的開展建設并投入運營。電力企業自身人員所掌握的知識結構、所擁有的科研力量及經費、科技信息化水平等都是影響電力企業建設風險的根本因素。

(四)成長風險

電力企業在投融資活動中存在著很大的成長風險，國家現行的稅收制度、勞動用工制度及貨幣政策，電網的健全性、時效性，企業自身的經營狀況等都會對企業的成長產生巨大的影響。電力企業是否能夠把握適宜的條件，給自身企業的成長創造機會，將決定企業能否獲得更多的投資及可持續發展的空間。

(五)管理風險

電力企業的經營理念、整體員工及管理者的素質、服務體系及管理體制的完整程度都是電力企業在投融資風險的引發因素。電力企業必須在日常的生產經營中，注重經營管理的水平及質量，不斷完善管理機制并規范化企業的管理。

(六)生產風險

電力企業在投融資過程中生產風險的影響因素：資金的投入、基礎的設備、職工掌握的技術能力等。生產風險是企業啟動投融資活動最初遇到的問題，也是企業能夠正常運營的前提條件。

(七)市場風險

當今世界的競爭環境日益緊張，也給電力企業帶來了更大的市場風險。企業在尋找目標市場的時候會面臨著巨大的風險，電價政策、電網運行狀況及經營中的競爭力、市場環境等一系列的競爭因素及傳統的文化與社會觀念等都能會給電力企業設下很多的發展障礙。企業的市場風險將會直接影響其最終目標的實現，也是電力企業能否獲得預期效益的前提保證。目前居高不下的煤價成了火電企業投資的最大的市場風險。

(八)商業風險

電力企業在投融資中的商業風險是指在電力日常生產及電網運行經營中無法實現預期最低利潤價值的可能及風險。引發商業風險的因素有：電力企業的發展戰略偏離實際情況，管理措施沒有契合電網消費者的需求，企業不具有先進的科學及人才體系，開發新技術的能力不強, 電力基礎設備及配套設施薄弱,電網的運行效率和服務體系質量低下，經營管理策略失當等。避免商業風險要求企業管理者必須擁有長遠的目光及綜合實踐的應用能力，能夠有效把握多方面的信息，及時采取適宜的措施解決可能遇到的一切風險。

三、電力企業投融資風險的根本要求

我國電力企業的投融資是一種比較成熟的生產技術與資金的合理的周轉形式,其模式的運行應該在金融機構、風險投融資公司、政府與技術研究單位的共同參與下來展開。電力企業投融資風險的分析一定要結合企業的環境及自身情況來進行。在投融資項目的選擇上,必須依據科學的分析結果來進行篩選,向具有潛在發展空間的項目投入適當的資金,并通過科學高效的管理模式來增加預期利潤的附加值。 電力企業可以采取以下措施來減少投融資過程中的風險：設立專業的機構對預期風險進行及時的分析與評估,擴大投融資風險的資本市場, 培養高技術水平的經營管理者及金融人才，創新引入新型的技術，不斷完善企業自身的管理及監督機構。

我國電力企業在投融資活動中的風險分析及評估意識不足，沒有具備科學系統的研究形式。電力企業在選擇投融資項目時，沒有對各種風險進行深入的可行性分析,對風險情況無法使用高效的分析評估模式,還一直停留在落后陳舊的敏感性分析模式中。電力企業必須意識到風險分析與評估的重要性，主動學習使用合理的模式解決投融資中的風險，才能在激烈的市場競爭中獲得一席之地。

參考文獻:

[1]賈正源,田麗,洪浩林.基于EVA模型的電力上市公司融資效率分析[J].財會通訊,2009, (08)

篇(6)

 

一、引言

 

信息時代為國家和個人提供了全新的發展機遇和生活空間，但也帶來了新的安全威脅。信息安全的威脅可能來自內部的破壞、外部的攻擊、內外勾結的破壞和信息系統自身的意外事故等，因此我們應按照風險管理的思想，對可能的威脅和需要保護的信息資源進行風險分析，以便采取安全措施，妥善應對可能發生的安全風險。信息安全風險評估是依據國家信息安全風險評估有關管理要求和技術標準，對信息系統及由其存儲、處理和傳輸的信息的機密性、完整性和可用性等安全屬性進行科學、公正的綜合評價的過程。根據ISO27001的管理思想，信息安全風險評估在信息安全管理的PDCA環中是一個很重要的過程，如何處理信息安全風險評估所產生的數據，是每一個信息安全管理者都非常迫切需要解決的一個問題。最好的解決方法是開發出一套實用性強、可操作性高的系統安全風險評估管理工具。

 

二、風險評估過程

 

信息安全風險評估系統的設計是針對組織開展信息安全風險評估的過程。這個過程包括對信息系統中的安全風險識別、信息收集、評估和報告等。風險評估的實施過程如下頁圖1。

 

1.評估前準備。在風險評估實施前，需要對以下工作進行確定：確定風險評估的目標、確定風險評估的范圍、組建風險評估團隊、進行系統調研、確定評估依據和方法、制定評估計劃和評估方案、獲得最高管理者對工作的支持。

 

2.資產識別。資產識別過程分為資產分類和資產評價兩個階段。資產分類是將單位的信息資產分為實物資產、軟件資產、數據資產、人員資產、服務資產和無形資產六類資產進行識別;資產評價是對資產的三個安全屬性保密性、可用性及完整性分別等級評價及賦值，經綜合評定后，得出資產的價值。

 

3.威脅識別。威脅識別主要工作是評估者需要從每項識別出的資產出發，找到可能遭受的威脅。識別威脅之后，還需要確定威脅發生的可能性。

 

4.脆弱性識別。評估者需要從每項識別出的資產和對應的威脅出發，找到可能被利用的脆弱性。識別脆弱性之后，還需要確定弱點可被利用的嚴重性。

 

5.已有安全措施確認。在識別脆弱性的同時，評估人員將對已采取的安全措施的有效性進行確認，評估其是否真正地降低了系統的脆弱性，抵御了威脅。

 

6.風險分析。風險評估中完成資產賦值、威脅評估、脆弱性評估后，在考慮已有安全措施的情況下，利用恰當的方法與工具確定威脅利用資產脆弱性發生安全事件的可能性，并結合資產的安全屬性受到破壞后的影響得出信息資產的風險。

 

三、系統設計

 

1.用角色設計。系統角色分為三種類型，各用戶在登錄后自動轉入各自的操作頁面。A.超級管理員：擁有系統所有權限;B.評估項目管理員：可以對所負責的評估項目進行管理，對評估人員進行分工和權限管理;C.評估人員：負責由項目管理員分配的測評工作，將評估數據導入系統。

 

2.系統模型。根據信息安全風險評估管理的業務需求，我們構建了以安全知識庫為支撐，以風險評估流程為系統主要業務流，以受測業務系統及其相關信息資產的風險評估要素為對象的信息安全風險評估綜合管理系統模型，系統模型如圖2所示。

 

3.系統功能設計。信息安全風險評估綜合管理系統的功能模塊包括：①風險評估項目管理：評估項目管理模塊包括評估項目的建立、項目列表、項目設置等功能。主要輸入項：項目名稱、評估時間、評估對象等;主要輸出項：項目計劃書。②信息安全需求調研管理：該模塊用于用戶填寫安全調研問卷，為安全評估提供數據支持。主要輸入項：用戶ID、調查答案;主要輸出項：問卷標題、調查題內容。③資產識別。系統提供的資產識別，包括：硬件、軟件、數據等，根據業務系統對組織戰略的影響程度，對相關資產的重要性進行評價;主要輸入項：評估對象(信息資產)、賦值規則;主要輸出項：資產識別匯總表、資產識別報告。④威脅識別。威脅識別：系統提供多種網絡環境的威脅模板，支持和幫助用戶進行威脅識別和分析，并提供資產、脆弱性、威脅自動關聯功能：主要輸入項：評估對象、賦值規則;主要輸出項：威脅識別匯總表、威脅識別報告。⑤脆弱性識別。脆弱性識別：系統可提供多種系統的脆弱性識別功能，包括：主機、數據庫、網絡設備等對象的脆弱性識別。系統支持常用漏洞掃描軟件掃描結果的導入，目前支持的掃描系統有：Nessus、NMap等，主機系統支持：Windows、Linux、Unix等，數據庫支持：MSSQL、Oracle等：主要輸入項：評估對象、漏洞掃描結果、賦值規則;主要輸出項：漏洞掃描報告、脆弱性識別匯總表、脆弱性識別報告。⑥安全措施識別。安全措施識別：系統提供基于技術、管理等方面的安全措施檢查功能，幫助用戶了解目前的安全狀況，找到安全管理問題，確定安全措施的有效性：主要輸出項：安全措施識別匯總表、安全措施識別報告。⑦風險分析。系統通過資產評價、脆弱性評價、威脅評價、安全措施有效性評價、風險分析等工作，可自動生成安全風險評估分析報告。主要輸入項：評估對象、資產值、脆弱性值、威脅值、安全措施值、計算規則;主要輸出項：風險計算匯總表、風險分析報告。⑧評估結果管理。主要功能是對歷史記錄查詢與分析。匯總所有的安全評估結果進行綜合分析，并生成各階段風險評估工作報告，主要包括如下：《資產識別報告》、《漏洞掃描報告》、《威脅識別報告》、《脆弱性識別報告》、《控制措施識別報告》、《風險分析報告》。并可對當期風險評估結果和原始數據進行轉存或備份。在有需要時能調出評估歷史數據進行查詢及風險趨勢分析。⑨信息安全知識庫更新維護。信息安全知識庫的更新維護主要對象有：系統漏洞庫、安全威脅庫、安全脆弱點庫、控制措施庫。為避免造成數據的冗余，系統將在各評估項目中需要反復使用的數據歸入基礎數據庫進行管理，在進行評估活動時再從基礎庫提取有關數據，這樣也能減少重復的輸入工作。⑩數據接口。導入數據接口：資產庫、脆弱點庫、威脅庫、控制措施庫。支持以下常用的格式：如EXCEL文件等;常用的漏洞掃描工具：如綠盟、啟明星辰、NESSUS、NMAP等。

 

四、結束語

 

該系統設計是以信息安全風險評估工作流程為基礎，進行信息安全評估項目管理、風險要素數據收集與輔助風險分析的系統，在實際風險管理過程中，可引入了質量管理理念——PDCA循環，即通過監控每一階段的信息系統風險情況，及時發現問題，不斷調險控制工作計劃，從而實現信息安全風險管理的工作目標。

篇(7)

[關鍵詞] 風險分析方法評述

風險管理可以劃分為四個階段：風險識別、風險評估、風險控制和風險記錄。無論是國內還是國外，近年來的研究大多集中于風險評估階段。風險評估即要對風險進行分析量測，確定出風險大小，為進一步的風險控制提供可用于指導操作的信息。風險評估的步驟包括，第一，根據風險辨識的結果，構建起合適的數學模型。第二，通過專家調查、歷史記錄、外推法等，獲得所需的、基本的可用信息或數據，然后選用適當的數學方法將信息量化。第三，選用適當的模型與分析方法，對數據進行處理分析，視具體情況對模型進行修正。第四，根據一定的評判標準，判斷風險大小。在風險評估中為了獲取一些最基本的數據或信息，常常會運用外推法(Extrapolation),主觀估計法、概率分布分析法等方法獲得了基本的數據或信息后，進一步的數據分析處理常采用以下幾種基本理論與方法：層次分析法，模枷邏輯分析法，蒙特卡洛模擬法，灰色系統理論，人工神經網絡法，故障樹分析法，貝葉斯理論，影響圖法和馬爾可夫過程理論等。

當前，存在很多風險分析的理論，這些分析方法遵循了基本的風險評估流程，但在具體實施手段和風險的計算方法方面各有不同。本文從計算的角度，按定性、定量和綜合的方法對風險分析方法進行評述。

一、定性分析

1.故障樹分析

故障樹分析（Fault Tree Analysis, FTA）可以用于風險的定性分析，也可以用于其定量分析。它主要用于大型復雜系統的可靠性及安全性分析，是復雜系統可靠性、安全性分析的一種有效的方法。通過對硬件、軟件、環境、人為因素等可能造成系統故障的分析，由總體至部分，按樹狀結構，逐層細化，畫出故障原因的各種可能組合方式和其發生概率。故障樹分析采用樹形圖的形式，把系統的故障與組成系統的部件的故障有機地聯系在一起。故障樹分析首先以系統不希望發生的事件作為目標（稱為頂事件），從頂事件逐級向下分析各自的直接原因事件（稱為底事件），根據彼此間的邏輯關系連接上下事件，直至所要求的深度，得出分析結果。

2.事件樹分析

事件樹分析(event tree analysis，ETA)又稱決策樹分析，是風險分析的另一種重要方法。它是在給定系統事件的情況下，分析該事件可能導致的一系列結果，從而評價系統的可能性。

事件樹給出初始事件一切可能的發展方式與途徑，事件樹的每個環節事件(除頂事件外)均執行一定的功能措施以預防事故的發生，且均具有二元性結果(成功或失敗)。事件樹雖然列舉了導致事故發生的各種事故序列組，通過各種事故序列組的中間步驟可以整理初始事件與減少系統風險概率措施之問的復雜關系，并識別事故序列組，從而計算每項事件序列發生的概率。

3.原因與結果分析

原因與結果分析(cause-consequence-analysis, CCA)是故障樹分析(FTA)和事件樹分析(ETA)的結合。它采用了原因分析(故障樹分析)和結果分析(事件樹分析)，CCA的目的是識別出導致突發后果的事件鏈，根據CCA圖中不同事件的發生概率，計算出不同結果發生的概率，從而確定系統的風險等級。

4.風險模式影響及危害性分析

風險模式影響及危害性分析(risk mode effects and criticality analysis，RMECA)通過分析產品所有可能的風險模式，判斷每一種風險對系統和信息安全可能產生的潛在影響，找出單點風險，并按其影響的嚴重程度及其發生的概率，確定其危害性，以此發現系統中潛在的薄弱環節。RMECA首先按規定的規則記錄系統中所有可能的故障模式，然后分析每種故障模式對系統工作狀態的影響并確定單點風險，將每種風險模式按其影響的嚴重程度及發生概率進行排序，從而發現系統中潛在的薄弱環節。RMECA由兩部分工作構成，即風險模式影響分析(risk mode and effects analysis，RMEA)和危害性分析(criticality analysis，CA)。在進行這種分析時應把所研究的每一種分析看作是系統唯一的風險。RMECA是CA的基礎。通過對系統風險損失或指定風險模式下的風險損失的分析．可以更加精確地掌握系統所存在的潛在經濟損失期望值，從而為選擇控制方式、應急方案等決策提供有力的支撐。

5.德爾斐法

德爾斐法一種定性的預測方法，通過背對背群體決策咨詢的方法，群體成員各自獨立工作，然后以系統的、獨立的方式綜合他們的判斷，這樣克服了為某些權威所左右的缺點，減少調查對象的心理壓力，使預測的可靠性增加。利用德爾斐法進行系統安全風險分析時，其步驟如下：(1)在風險明確之后．要求群體成員通過填寫精心設計的問卷，來提出可能解決問題的方案。(2)每個群體成員匿名并獨立完成問卷。(3)把問卷凋查的結果在另一個中心地點整理出來。(4)把整理和調整的結果分發給每個人一份。(5)存群體成員看完整理結果之后，要求他們再次提出解決問題的方案。這樣的結果可能是啟發出新的解決方法，或使原有方案得到改善。(6)如果有必要，重復步驟(4)和步驟(5)，直到找到大家意見一致的解決方案為止。

除了上述分析方法外，定性分析還有FMECA(failure mode effects and criticality analysis)故障模式影響及危害性分析Markov分析方法等。

二、定量分析

1.故障樹分析

用故障樹分析進行風險的定量評價時，首先是求解出“底事件”的發生概率，然后通過邏輯關系最終得到“頂事件”，即所分析的重大風險事件的發生概率。采用故障樹分析進行風險的定量分析需要知道各個底事件的發生概率。如果工程實際能給出大部分底事件的發生概率的數據時，可參照類似情況對少數缺乏數據的底事件給出估計值；若很多底事件缺乏數據且不能給出恰當的估計值，則不能采用該方法進行定量分析。

2.風險評審技術

風險評審技術(venture evaluation review technique，VERT)是以管理系統為對象，通過隨機仿真手段，進行風險的定量分析。VERT是適應一些高度不確定性和風險性的決策問題而開發的網絡仿真系統。它是通過豐富的節點邏輯功能，控制一定的時間流、費用流和性能流流向及相應的活動。在每次仿真運行時，通過蒙特卡洛模擬，這些參數流在網絡中按概率隨機流向不同的部分，經歷不同的活動而產生不同的變化，最后到達某一終止狀態。在用戶多次仿真后，通過節點收集到的各參數，可以了解系統風險或危害情況供輔助決策。如果網絡結構合理，邏輯關系及數學關系正確，獲得的實際數據又是準確的，該方法可以較好地模擬實際系統研制的時間、費用及性能分布，從而評價出系統研制的風險。

三、綜合分析

1.概率風險評估和動態風險概率評估

概率風險評估(probability risk assess, PRA)和動態風險概率評估(dynamic probability risk assess, DPRA)是定性評估與定量計算相結合的方法，它以事件樹和故障樹為核心，將其運用到系統安全風險分析領域。其分析步驟如下:(1)識別系統中存在的事件，找出風險源。(2)考查各風險源在系統安全中的地位及相互邏輯關系，給出系統的風險源樹。(3)標識各風險源后果大小及風險概率。(4)通過邏輯及數學方法對風險源進行組合，獲得系統風險的度量。

DPRA運用主邏輯圖(master logic diagram)、事件樹分析(ETA)以及故障樹(FTA)綜合對風險進行評估，將系統逐步分解轉化為初始事件，然后確定導致系統失敗的事件組合及失效概率。

2.層次分析法

層次分析法（Analytic Hierarchy Process，AHP）是一種定性與定量相結合的多目標決策分析方法。該方法已被廣泛地應用于缺乏統一度量標尺的復雜問題分析，可以解決用純參數數學模型方法難以解決的決策分析問題。AHP首先對系統進行分層次、擬定變量、規范化處理，然后在評估過程中進行系統分解、安全性判斷和綜合判斷。它的基本步驟如下：(1)系統分解，建立層次結構模型；(2)構造判斷矩陣；(3)通過單層次計算進行安全性判斷；(4)層次總排序，完成綜合判斷，給出風險評價的結果。

3.模糊分析法

模糊分析法(the fuzzy analysis，FA)將風險分析中的模糊語言變量用隸屬度函數量化。由于在具體項目或事件風險評價指標體系中存在著許多難于精確描述的指標，可以采用模糊綜合評價法進行綜合評價。具體是確定風險模糊綜合評價指標集，給出風險綜合評價的等級集。主要步驟有：確定評價指標體系中各指標權重；模糊矩陣的統計確定；模糊綜合評價；計算出風險的最終綜合價值。

除了上述分析方法外，灰色系統理論、貝葉斯理論和人工神經網絡等都可以應用于風險的評估。

四、結束語

風險評估的方法大致可分為定性分析、定量分析、定性與定量相結合的綜合評估方法。定性風險可以快捷地對資源、威脅、脆弱性進行系統評估．并對現有的防范措施進行評價。定性分析方法的特點主要是依據研究者的知識、經驗、歷史教訓、政策走向以及特殊實例等非量化資料，對系統風險狀況做出判斷。定性分析方法，優點是全面、深入，缺點是主觀性太強，對評估者要求高。

定量風險分析是在定性分析的邏輯基礎上，對產生危害的可能性進行定量的描述，其分析的目標更加具體明確，可信度也大大增加。定量分析的優點是直觀、明顯、客觀、對比性強，不足之處是簡單化、模糊化會造成誤解和曲解。