信息安全风险评估发展历程
风险评估中的基本概念
很多行业都有风险评估（Risk Assessment）的概念，在信息技术领域则多指信息安全风险评估。当前，我国的风险评估方法主要参照两个标准：国际标准《信息安全风险管理指南》（ISO 13335）和国家标准《信息安全风险评估规范》（GB/T 20984-2007），其本质是以信息资产为对象的定性风险评估，评估的是对信息资产面临的威胁、存在的弱点、造成的影响，以及三者综合作用而带来风险的可能性。
因此，在信息安全风险评估中需要掌握以下基本概念：
①资产：对组织具有价值的信息资源，是安全策略保护的对象。
②资产价值：资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。
③威胁：可能对资产或组织造成损害的潜在原因。威胁可以通过威胁主体、资源、动机、途径等属性来刻画。
④脆弱性：可能被威胁利用从而对资产造成损害的薄弱环节。
⑤信息安全风险：由于资产的重要性，人为或自然的威胁利用信息系统及其管理体系的脆弱性，导致安全事件一旦发生所造成的影响。
⑥信息安全风险评估：依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织所造成的影响。
⑦安全措施：保护资产、抵御威胁、减少脆弱性、降低安全事件的影响，以及打击信息犯罪而实施的各种实践、规程和机制的总称。
3.风险评估要素和风险分析步骤
风险分析涉及资产、威胁、脆弱性三个基本要素。
4.风险评估实施流程
①风险评估准备是整个风险评估过程有效性的保证。
②资产识别阶段应对组织机构中的资产进行识别和赋值。
③威胁识别阶段需要对信息系统可能面临的威胁进行识别和赋值。
④脆弱性识别阶段应对资产存在的脆弱性进行识别和赋值。脆弱性识别是风险评估中最重要的环节-P232第二行。
⑤已有安全措施确认。
⑥风险计算，计算每种资产面临的风险值。
⑦对不可接受的风险应根据导致该风险的脆弱性制定风险处理计划。
⑧再评估，以判断实施安全措施后的残余风险是否已经降到可接受的水平。
5.风险评估模型分析方法：
①OCTAVE 分析法
②层次分析法：一种定性与定量相结合的多目标决策分析方法。
③故障树分析法（FTA）：既可以用于定性分析，也可以用于定量分析。
④事件树分析法（ETA）：定性与定量相结合的风险辨识。
⑤因果分析法（CCA）
