風險評估分析方法精選(九篇)
前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的風險評估分析方法主題范文，僅供參考，歡迎閱讀并收藏。
第1篇：風險評估分析方法范文
中圖分類號：TP309 文獻標識碼：A文章編號：1007-9599 (2011) 15-0000-01
Threat Analysis of Information Security Risk Assessment Methods Study
Huang Yue
(Naval Command College,Information Warfare Study Institute,Nanjing211800,China)
Abstract:A threat-based analysis of quantitative risk assessment methods,the use of multi-attribute decision theory,with examples,the security of information systems for quantitative risk analysis for the establishment of information systems security system to provide a scientific basis.
Keywords:Risk assessment;Threat analysis;Information security
隨著信息技術的迅速發展和廣泛應用，信息安全問題已備受人們矚目，風險評估是安全建設的出發點，在信息安全中占有舉足輕重的地位。信息安全風險評估，是指依據國家有關信息安全技術標準，對信息系統及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行科學評價的過程[1]。信息安全風險評估方法主要有定性評估和定量評估。定性評估主要依賴專家的知識和經驗，主觀性較強，對評估者本身的要求很高；定量評估使用數學和統計學工具來描述風險，采用合理的定量分析方法可以使評估結果更科學。本文提出一種基于威脅分析的多屬性定量風險評估方法，建立以威脅為核心的風險計算模型，通過威脅識別、威脅后果屬性計算及威脅指數計算等步驟對信息系統的安全風險進行定量分析和評估。
一、風險評估要素分析
信息系統安全風險評估的基本要素包括資產、脆弱性和威脅，存在以下關系：a資產是信息系統中需要保護的對象，資產擁有價值。資產的價值越大則風險越大b風險是由威脅引起的，威脅越大則風險越大c脆弱性使資產暴露，是未被滿足的安全需求，威脅通過利用脆弱性來危害資產，從而形成風險，脆弱性越大則風險越大[2]。
二、風險評估模型
威脅是風險評估模型關注的核心問題，威脅利用脆弱性對信息系統產生的危害稱為威脅后果。威脅發生的概率以及威脅后果的值是經過量化的。風險按式計算R=f（A，V，T）=f（I，L（V，T）），R風險；A資產；V資產的脆弱性；T威脅；I威脅后果；L安全事件發生的可能性。風險評估模型通過計算威脅利用脆弱性而發生安全事件的概率及其對信息系統造成損害的程度來度量安全風險，從而確定安全風險大小及決策控制。評估過程主要包括威脅識別、威脅后果屬性及威脅指數計算。（一）威脅識別。識別信息系統威脅主要有德爾菲法、故障樹分析法、層次分析法等[3]。通過德爾菲法，結合對系統歷史數據的分析，以及系統漏洞掃描等手段來確定信息系統中存在的威脅。其中，歷史數據分析包括對信息系統中資產遭受威脅攻擊的事件發生的概率等進行統計和計算。例如：近幾年來全球范圍內的計算機犯罪，病毒泛濫，黑客入侵等幾大問題，使企業信息系統安全技術受到嚴重的威脅，企業對信息系統安全的依賴性達到了空前的程度，一旦遭到攻擊遭遇癱瘓，整個企業就會陷入危機。某企業信息系統，面臨的主要威脅有：1黑客蓄意攻擊：出于不同目的對企業網絡進行破壞與盜竊；網絡敲詐2病毒木馬破壞：病毒或木馬傳播復制迅猛3員工誤操作：安全配置不當，安全意識薄弱4軟硬件技術缺陷：硬件軟件設計缺陷，網絡軟硬件等多數依靠進口5物理環境：斷電、靜電、電磁干擾、火災等環境問題和自然災害。（二）確定威脅后果屬性。在評估威脅對信息系統的危害程度時，要充分考慮不同后果屬性的權重，才能真正得到符合被評估對象實際情況的風險評價結果。最終確定的風險后果屬性類型可表示為X{xj|j=1，2，…m}：其中，xj為第j種后果屬性，權重W：{wj|j=1，2，…m}.列出企業信息系統的威脅后果屬性及權重：收入損失RL，生產力損失PL，信譽損害PR。權重為0.3，0.5，0.2。（三）確定后果屬性值。通過收集歷史上發生的有關該類威脅事件的資料數據為風險評估提高可靠依據。最終確定威脅發生概率P：{pi|i=1，2，…n}及相應后果屬性值集合V：{vij|i=1，2，…n；j=1，2，…m}，pi是第i種威脅ti的發生概率，vij為威脅ti在后果屬性xj上可能造成的影響值。由于多種后果屬性類型有不同的量綱，為度量方便，消除了不同量綱，得到后果影響的相對值V*：{vij*|i=1，2，…n；j=1，2，…m}，vij*表示威脅在后果屬性方面造成的相對后果影響值。Vij*=vij/max{vkj}本例中，最終確定的結果見表1。
表1：風險概率與后果屬性值
編號 概率 后果屬性值
RL w=0.3 PL w=0.5 PR w=0.2
V1/萬元 V1* V2/h V2* V3/級 V3*
1 0.45 1000 1 4 0.4 5 1
2 0.35 1000 1 10 1 4 0.8
3 0.1 500 0.5 4 0.4 2 0.4
4 0.08 250 0.25 6 0.6 2 0.4
5 0.02 100 0.1 2 0.2 1 0.2
（四）計算威脅指數。使用威脅指數來表示風險的大小和嚴重程度。對于威脅ti，定義相應的威脅指數：TIi=pi*∑（wjvij），pi-威脅ti發生的概率，∑（wjvij）-威脅ti可能造成的總的后果影響，wj-后果屬性xj的權重，vij-威脅ti在后果屬性xj上可能造成的影響值。如前所述，安全風險評價的主要目標是為了度量出各個威脅的相對嚴重程度，并對其進行排序，以利于進行安全決策。因此，為使評估結果更加清晰和便于比較，這里用相對威脅指數RTI來表示威脅的相對嚴重程度。歸一化，得到各威脅的相對指數。RTIi=（TIi/max{TIk}）*100經計算，黑客蓄意攻擊93，病毒木馬破壞100，員工誤操作13，軟硬件缺陷11，物理環境1
三、結論及展望
結合企業信息系統實例，得出信息系統的相對威脅程度，使風險評估更易量化，使評估結果更加科學和客觀。下一步工作是繼續完善該評估模型，設計實現基于該方法的信息系統風險評估輔助系統，更好地促進信息系統安全管理的實施。
參考文獻：
[1]GB/T20984-2007.信息安全技術信息安全風險評估規范[S].中華人民共和國國家標準,2007
[2]陳鑫,王曉晗,黃河.基于威脅分析的多屬性信息安全風險評估方法研究[J].計算機工程與設計,2009,30(1):39
[3]sattyTL.How to make adecision:the analytichier archprocess[J].European journal of operation research,1990,48(1):9
（二）藥品問題廣告主要表現
在該段時間內，三大網站中存在問題的4個藥品廣告中，均為一個廣告《打呼嚕――當晚止鼾》在不同時段在不同的網站中投放。該廣告存在諸多問題。首先，該廣告含有不科學地表示功效的斷言和保證，在廣告中提到“當晚止鼾，一個月呼吸順暢，二個月睡眠質量提高，三個月告別打呼?！?；電子生物『止鼾器治療打呼嚕，不手術、不吃藥，不用電，純物理療法，安全可靠，被譽為“綠色療法”；“安全無毒，對身體沒有任何影響；舒適耐用”等等。其次，利用他人名義、形象作證明?！八恕本唧w是指：醫藥科研、學術機構，專家、醫生、患者或者用戶。在該廣告中，有利用具體的患者照片以及一些具體患者做廣告宣傳，“上海的劉芳32歲，是一個患者的妻子……江蘇的老人陳老板自述……”這些都是利用具體的患者或者用戶的名義做廣告宣傳。再次，含有“最新技術”、“最先進制法”等絕對化用語和表示。在該廣告中，多次提到“采用國際醫學界推崇的綠色物理療法”、“為國際第一個戴在手腕上的止鼾產品，美國原裝產品，暢銷歐美20年，2010年由北京盛大電子科技有限公司引進中國大陸”等等。
三、解決網絡廣告問題的對策
一般來說，只要是廣告，就要遵守《廣告法》，但有關在網絡媒體上廣告，《廣告法》中未提及。對于管理部門而言，出來規定網絡公司承接廣告業務必須對其經營范圍進行變更登記外，如何界定網絡廣告經營資格，檢測和打擊虛假違法廣告，取證違法事實，規范通過電子郵件發送的商業信息，對域外網絡廣告行使管轄權等一系列新的課題，都尚待探討。因此，針對以上網絡中的特殊商品廣告違法行為，筆者認為應該采取以下對策：（1）網絡經營者，網絡廣告者要牢固樹立為人民服務、為社會主義事業服務的宣傳宗旨，加強行業自律和職業道德修養，在思想上筑起防范不良廣告的“大堤”。網絡廣告相關從業人員需要認真學習廣告法規，特別是特殊商品、服務廣告標準，對于違反廣告法規的廣告應該予以拒絕，凈化傳播廣告的空間，給消費者提供一個良好的信息平臺。（2）對于違反廣告法規的廣告，在追尋廣告商責任的同時，應對該網站實施一定的懲罰。網站特別是大型的有一定影響力的網站作為廣告的載體，有責任正規廣告，為消費者提供真實、準確的信息。對于違法廣告的網站，相關部門應該追究其責任，并進行經濟處罰。（3）普通消費者應該了解基本的廣告法規內容，從而判斷簡單的廣告信息真偽，了解該廣告是否合法。普通消費者學習廣告法規，能夠提高他們的基本素質，幫助消費者辨別廣告的真偽，幫助選擇信息，從而保護自己的合法權利。
參考文獻：
[1]呂蓉.廣告法規管理[M].上海:復旦大學出版,2003,9
[2]劉林清.廣告監督與自律[M].湖南:中南大學出版社,2003,7
[3]倪寧.廣告學教程[M].北京:中國人民大學出版社,2004,8
[4]劉敏.強化媒體治理虛假廣告的責任意識[J].現代廣告,2010,3
[5]曾紅宇,張波.報紙特殊商品的違法違章廣告探析[J].湖南大眾傳媒職業技術學院學報,2011,1
第2篇：風險評估分析方法范文
1 風險管理理論與方法
近年來，靜態與動態相結合的風險管理方法得到促進和發展，李忠等}6]考慮多種風險分析方法，把靜態風險管理和動態風險管理有效結合，提出更為全面、合理并貼近大斷面城市隧道工程實際的風險界定、辨識、估計、評價和控制的靜動態風險管理過程架構;周宗青等}7]針對隧道塌方風險，利用模糊層次評價方法開展基于孕險環境的靜態風險評估，汲取大氣降水、開挖支護措施及監控量測等施工信息，進行隧道施工過程中的動態風險評估，基于動態評估結果提出了風險動態規避方法;蘇潔等針對地鐵隧道穿越既有橋梁安全開展風險評估及控制研究，建立包含工前檢測、工前評估、工中動態控制、工后評估及恢復等四個方面的既有橋梁安全風險評估及控制體系，即識別可能存在的風險，提出地鐵施工過程中既有橋梁施工中的控制指標及控制標準，利用信息化手段實現既有橋梁在全過程中的安全性幾通過對施工結束后施工數據的分析，對既有橋梁結構進行必要性評估及恢復。上述文獻通過動態更新地質、環境等評價指標、增加施工監控量測等施工信息實現動態風險管理，但是對于施工行為的風險評價方法涉及不多，需要開展進一步的研究。
定性評估方法中主觀因素影響太大，由于相關統計數據有限，定量評估方法發展基礎明顯不足，定性定量相結合的方法成為目前采用的主要風險評估方法。杜修力等將網絡分析法應用到地下工程風險評估中，利用專家調查法對地下工程中出現的風險因素進行識別，運用MATLAB對各風險因素的比較判斷矩陣及加權超矩陣進行分析和運算;劉保國等通過建立集德爾菲法、模糊綜合評判和網絡分析法于一體的模糊網絡分析法，將其應用于公路山嶺隧道施工風險分析，在公路山嶺隧道施工全過程分析基礎上，建立公路山嶺隧道施工風險評價指標體系。汪濤等}川采用貝葉斯網絡方法建立風險事件、風險因素之間的關系模型，結合風險貝葉斯網絡評估風險事件的發生概率。
2 深長隧道施工風險分析與評估
近年大量的高風險深長隧道工程正在或即將在地形地質條件極端復雜的巖溶地區或西部山區修建，建設過程中極易遭遇突水突泥、巖爆等重大災害，針對隧道突水、巖爆、大變形等單個風險事件開展的研究日益增多。李術才、李利平等通過案例統計分析，遴選出突涌水的影響因子，分析了各影響因素與突涌水發生概率和發生次數之間的隸屬函數或表征關系，建立巖溶隧道突涌水風險模糊層次評價模型。郝以慶、盧浩等利用概率理論對突水評價指標值的不確定性進行了表征，引入了屬性測度擾動區間，推導了單指標屬性測度的計算公式以及多指標綜合屬性測度矩陣的計算方法。董鑫、盧浩等提出基于嫡的風險評估和決策模型，綜合考慮了危險性和不確定性因素;并針對隧道突水，基于斷裂力學理論，推導出了裂隙壓剪破壞與裂隙拉剪破壞的臨界水壓力值，分析了各影響因素對臨界水壓力的影響。吳世勇等通過微震實時監測和數值分析等手段，開展TBM施工速度、導洞施工等TBM開挖方案對巖爆風險的影響研究。肖亞勛，馮夏庭等在錦屏II水電站3#引水隧洞極強巖爆段實施了”先半導洞+TBM聯合掘進”實驗，結合微震實時監測信息對TBM半導洞掘進的巖爆風險開展了研究。溫森等針對洞室變形引起的雙護盾TBM施工事故開展風險分析，根據后果等級結合發生的概率提出TBM施工變形風險評價矩陣。
深長隧道中地質因素不確定性大，影響機理復雜，目前風險評估主要側重于研究地質、施工等因素與風險事件的相關關系，建立初步的風險評價模型，對于多種因素綜合影響風險的機理和綜合評估模型，還需要進一步的研究。
3 城市地下空間施工風險分析與評估
隨著我國地鐵、城市地下空間建設蓬勃發展，圍繞深基坑、盾構隧道、過江隧道、地鐵穿越建筑物等工程施工開展了風險分析。張馳針對基于模糊數學理論深基坑施工對周邊環境影響開展風險分析與評估，提出了風險損失評價指標、風險等級劃分以及風險損失計算公式。鄭剛等開展盾構機掘進參數對地表沉降影響敏感度的風險分析，分析盾構掘進參數與掘進速度的關系，分析對周圍地層沉降的影響規律，以盾構掘進過程中的關鍵掘進參數為底事件建立風險故障樹并進行定量的風險評估。吳世明對泥水盾構穿越堤防的風險源進行系統分析，闡述風險產生的原因、造成的危害及規避和處理措施，并結合杭州慶春路過江隧道泥水盾構穿越錢塘江南岸大堤的工程實例，驗證所述風險控制措施的合理性及可行性。王浩開展淺埋大跨隧道下穿建筑物群的施工期安全風險管理，采用數值模擬方法，對施工開挖、支護進行精細化模擬，得出關鍵施工步序的變形量幾結合類似工程經驗和規范，制定安全監測的控制標準，以指導監測和施工。石鈕鋒針對超淺覆大斷面暗挖隧道下穿富水河道施工開展風險分析及控制研究，在對可能采用的預加固手段及開挖方案進行初步比選后，采用三維數值模擬手段進一步量化比選。張永剛等針對渤海灣海底隧道工程開展施工風險評估與控制分析，考慮超前地質預報風險、施工工序風險、支護施工風險、防排水風險、超欠挖風險、海域段隧道施工風險、施工對環境影響、洞內環境對人員健康及施工影響8種類型。
相比深長隧道，城市地鐵、地下空間地質環境信息更加完備，目前研究主要側重于施工因素對于風險事件的影響，為施工動態風險評估和控制提供了依據。
4 鹽巖地下儲備庫施工風險分析與評估
隨著我國對能源儲存庫的需求增大，鹽巖地下儲備庫風險分析也逐漸展開。井文君，楊春和}29-31 ]基于國外鹽巖地下油氣儲備庫曾發生過的重大事故的統計資料，采用風險矩陣法、故障樹、專家調查法對鹽巖儲備庫在建設和運營過程中的存在的重大風險進行了評價，并利用可靠度分析法計算各參數為正態隨機分布時腔體收縮各級風險的發生概率，分析地應力與腔體內壓差值與各級風險發生概率之間的變化規律。張寧建立地表沉降、鹽巖片幫風險功能函數表達式，最后采用基于隨機變量的蒙特卡洛方法、可靠度理論計算獲得鹽腔體積收縮引起的地表沉降風險、儲氣庫片幫風險失效概率。在力學機理分析和計算的基礎上建立風險功能函數，進而利用可靠度理論可實現定量風險評價，然而風險評價指標概率分布的確定比較困難，需要相關的數據統計樣本的支撐。
第3篇：風險評估分析方法范文
關鍵詞：隧道工程；專項風險評估；風險源；風險控制
隨著國家對安全生產工作越來越重視，安全風險評估工作在各行各業都得以普遍開展。在公路工程施工建設過程中，安全風險評估工作已經成為項目開工的一個先決條件，如何在前期的風險評估工作中全面、系統地預見可能發生的各類施工風險，為工程施工提供有效的風險控制措施顯得尤為重要，本文以遼寧中部環線南山隧道專項安全風險評估為例，探討山體隧道施工中的風險評估方法，為同類工程的風險評估工作提供借鑒。
1工程簡述
南山隧道是遼寧中部環線高速公路的一部分，位于鐵嶺市和撫順市交界處鰱魚溝附近，呈北西－南東向展開，設計兩條分離式單行曲線隧道，隧道左幅長1075m，右幅長1210m，如圖1。隧道圍巖為Ⅳ、Ⅴ級為主，隧道鐵嶺端洞口段和中間段左右線均位于直線上，本溪端洞口段左右線分別位于R＝3500m、R＝4000右偏圓曲線上。隧道鐵嶺端平面線位線間距為16．8m，本溪端平面線位線間距為24．4m，隧道最大平面線位間距位于中間段，為263m。在項目總體風險評估工作中，已經將南山隧道列為III級風險，需要進行專項風險評估。
2專項風險評估
2．1施工工序分解及風險源普查開展專項風險評估時，首要步驟是結合施工單位編制的施工組織設計，對工程進行工序分解，南山隧道按照施工過程，可以細分為：場地平整；施工場地布設；邊坡開挖及防護；洞口施工；超前支護；洞身開挖；初期支護；仰拱施工；監控量測；二襯防水層施工和二襯施工。風險源普查，主要是根據施工經驗和相關的安全生產規程，結合現場施工情況，確定可能發生的施工風險，南山隧道施工中可能發生的風險有：物體打擊；高處墜落；觸電；起重傷害；坍塌；涌水突泥；機械傷害；爆破傷害和車輛傷害等。2．2風險源辨識風險源辨識是分解工序和風險源普查的情況，將各道工序中可能發生的潛在事故和傷害程度逐一列舉，從人、機、料、法、環等方面對可能導致事故的致險因子進行分析，是專項評估的最重要環節，只有準確地確定了潛在事故類型和致險因子，才能準確地制定具體預防措施。因此，風險源辨識環節應謹慎細致，避免單純依靠一兩個人盲目分析的形式，應該廣泛討論，征求各方意見，最好由風險評估單位組織施工、監理、設計和業主各方共同討論，集思廣益才能得到最貼近施工現場情況的辨識結果。以下是南山隧道洞身開挖的風險源辨識結果，也是經由多方討論以后達成的共識成果。2．3風險源分析在充分的風險源辨識之后，評估小組需要參考設計圖紙并結合多次現場實地考察情況，對潛在的事故類型進行分析，判斷事故發生的可能性、確定是否應該將該風險源作為重大風險源進行詳細評估分析。在隧道施工中，主要應該根據隧道的水文地質條件、施工工藝和開挖方法等方面對風險源進行評估分析。南山隧道未發現地表水，無泉眼出露；地下水以第四系孔隙水及基巖風化裂隙水為主，水量隨大氣降水量及節理裂隙貫通情況不同而變化，圍巖富水性不均一，透水性較弱。在洞身山坳處ZK288＋840～ZK288＋940（K288＋850～K288＋940）段有電阻率偏低現象，推測為巖石風化界面較深或節理裂隙發育。隧道區未發現有大型斷裂構造發育。隧道區出口端全強風化巖層較厚，巖芯呈砂土、碎石狀，層厚5．6～12．5m。鐵嶺段洞口存在偏壓問題。隧道洞口處左側地勢低，右側地勢高，存在偏壓問題。隧道開挖方式主要采用鉆爆法，軟弱圍巖段也可采用機械開挖或人工開挖。開挖方法根據圍巖級別和隧道埋深情況分別采用臺階預留核土法和上下臺階法，也可根據實際需要采用CD法、CRD法進行施工。二次襯砌混凝土采用整體式液壓模板臺車澆筑。施工過程中應嚴格遵循“短進尺、弱爆破、快封閉、勤量測”的指導原則。通過施工工序分解、風險辨識、風險分析、專家調查等一系列過程，初步確定隧道在開挖過程中可能會發生的坍塌、涌水／滲水、洞口失穩等事故為重大風險源。下一步對其進行分析和估測。
3重大風險源分析
3．1風險矩陣和管理評估指標風險矩陣和管理評估指標是依據事故發生的可能性、人員傷亡等級、財產損失等級、企業的施工經驗、管理水平、人員素質等綜合因素確定施工等級和折減系數的方法，是一個系統的計算過程，具體計算方法在交通運輸部《公路橋梁和隧道工程施工安全風險評估指南》（交質監發［2011］217號附件）中有詳細的說明，在這里就不再冗述。3．2事故可能性分析事故可能性分析同樣是一個詳細的量化計算過程，這里省略計算過程，僅列出南山隧道各項重大風險源可能性分析結果。見表2～表4。
險控制措施
之前一系列的量化分析結果，最終目的就是為了提出行之有效的風險控制措施。在提供風險控制措施時，評估人員應廣泛參考同類工程的成功經驗，在技術、管理、人員、設備等方面提出行之有效的控制措施，便于施工單位現場實施。根據南山隧道風險評估結果，評估組將隧道風險分為一般風險源和重大風險源。所謂一般風險源，是指風險源相對簡單，影響因素間關聯性較低，運用一般知識和經驗即可防范的風險源。南山隧道主要一般風險源為觸電、高處墜落、物體打擊、車輛傷害等事故。此類風險結合各類施工規范要求，健全各類操作規程、開展好安全培訓教育、編制安全施工方案和應急預案、做好各類安全防護措施，在此不再冗述。重大風險源是針對工程特點，評估出來的可能產生重大人員傷亡或財產損失的風險源，針對此類風險源應提出詳實有效的控制措施。南山隧道重大風險源主要包括：隧道整體安全、坍塌風險、涌水、滲水事故、洞口失穩等。評估小組針對重大風險源，從做好洞口洞內排水、加強監控量測、進行超前地質預報、安裝洞口門禁設施、設置逃生管道、合理采用開挖形式等諸多方面提出了具體的措施和建議。
5結語
第4篇：風險評估分析方法范文
一、地質勘查公司經營特點分析
地質勘查公司，在經營業務范圍方面，主要是地質礦產勘察、工程測量勘察、地質災害防治、礦山施工、土石方及基礎工程勘察設計等方面的內容。地質勘查公司的這些業務范圍內容，決定了地質勘查公司的經營管理也有著獨特的特點。一方面，地質勘查公司經營業務具有較強的專業性。在地質勘查公司經營業務的開展過程中，需要采用專業的地質勘察技術和勘察設備。由于大量高新技術以及設備的應用，要求地質勘查公司在業務開展方面的投入較高，為了確保地質勘查公司的效益收入，必須加強對地質勘查公司的風險控制管理。另一方面，地質勘查公司面臨的外部市場環境方面，整個地質勘查行業市場更加開放，競爭更加激烈，保障地質勘查公司在市場上的穩定有序發展，必須進一步加強對風險的控制管理。
二、地質勘查公司的主要風險及成因分析
在市場風險方面，導致風險問題的方面主要是地質勘查公司盈利模式以及盈利能力方面。在地質勘查行業領域，市場環境不斷發展變化，要求地質勘查公司也應該積極的拓展新的業務領域，如果地質勘查公司經營管理水平不高，沒有足夠的專業能力和技術資格搶占大項目，地質勘查業務總量不足，則會對整個地質勘查公司經營帶來嚴重經營風險。在戰略風險方面，由于地質勘查公司經營發展需要大量的高新技術、設備以及高素質人才，需要地質勘察公司根據自身經營發展戰略規劃來制定經營發展策略。如果地質勘查公司的戰略發展規劃不當，很容易影響地質勘查公司在設備、技術、人員方面的投入規劃，進而對整個業務造成影響。在運營風險方面，重點是在項目管理方面，風險產生的隱患主要是有的地質勘查公司在項目管理方面還存在著較多不規范的問題，無論是項目組織結構設置、項目財務管理、項目考核分配、業務結構還是資質合同管理等方面，還沒有進行系統規范的管理，容易造成風險問題的發生。
三、地質勘查公司風險評估與控制
（1）完善地質勘查公司的風險評估流程。在地質勘查公司的風險評估方面，首先應該選取科學的風險評估方法，現階段應用較多的風險評估方法主要有風險辨識與評估流程圖法、映射矩陣法、風險圖譜法以及案例分析法等幾種形式，在具體的風險評估方法選擇上，應該根據地質勘查公司的實際情況等來選擇風險評估方法。其次，在地質勘查公司的具體風險管理流程方面，應該進一步優化完善風險總體流程，按照地質勘查公司的實際業務情況，建立地質勘查公司風險事件庫，并對可能出現的風險問題進行風險分類，對經營管理相關風險事件以及不確定因素進行全面的評估分析，提高評估分析的準確性。（2）完善地質勘查公司的風險評估工作體系。在明確地質勘查公司的風險評估流程以后，還應該進一步健全完善地質勘查公司的風險評估工作體系?？梢圆扇∽韵露?、縱橫整合的評估方式，在風險評估范圍上應該確保橫向覆蓋地質勘查公司的各個部門、各單位重點業務事項，縱向方面從政策、制度及執行、組織職責、人力資源、技術等各方面對風險進行分析，尤其是應該加強對地質勘查公司的工程項目管理風險、生產安全風險、人力資源風險、法律事務風險等的識別評估，并全面深入的查擺分析風險產生原因、風險發生后可能帶來的影響，從制度建設、完善管控措施、強化監督執行等方面制定應對策略，在源頭上加強風險評估管控。（3）完善地質勘查公司風險控制方案的制定。在地質勘查公司的風險控制管理方面，應該針對不同的風險類型制定不同的風險控制管理方案。對于地質勘查公司的戰略規劃風險，在風險控制方面，重點應該科學的整理分析有關的行業政策、動態信息，明確地質勘查公司的經營發展環境，妥善的制定戰略發展規劃，以戰略目標導向引領地質勘查公司的發展。在項目風險管理方面，重點是完善地質勘查公司項目組織架構，加強風險的動態管理，重點對地質勘查公司實施過程中的項目可行性研究分析、項目合同管理、技術管理、質量管理、安全管理等方面，建立完善風險管理責任制度，加強對地質勘查公司項目的整體管控力度。在地質勘查公司的市場風險管控方面，一方面，應該注重根據地質勘查公司的實際情況等，進行地質勘查市場細分，并進一步明確市場定位，同時根據市場行情，妥善的制定地質勘查公司內部管理方面的資源分配、合同管理、資金管控、客戶管理等，提高整體管理水平；另一方面，在地質勘查公司的市場風險管理方面，還應該加強地質勘查公司的技術創新及應用力度，積極采用各種新的地質勘查技術及裝備，增強地質勘查公司的市場核心競爭力，進而強化對風險的規避應對能力。
四、結語
對于地質勘查公司來說，加強風險評估和控制管理，應該重點完善地質勘查公司的戰略規劃管理，加強項目動態管理風險，并注重改進地質勘查公司的市場運營管理，全面地加強地質勘查公司的風向控制管理，以確保地質勘查公司經營發展的穩健和戰略發展目標的實現。
作者:常培斌 單位:山東省地質礦產勘查開發局八0一水文地質工程地質大隊
參考文獻
[1]徐帥.礦產地質勘查的基本特點分析[J].硅谷，2015，（3）：252.
[2]劉軍.如何避免在礦產地質勘查中的風險及誘發風險的因素[J].世界有色金屬，2017，（2）：111-112.
第5篇：風險評估分析方法范文
一、基層人民銀行風險管理現狀
當前人民銀行對風險進行識別，主要是由各部門依據自身業務特點，按照是否可能產生資金、財產損失，由于失密、泄密造成重大危害，影響央行政策目標實現和工作效率下降等各個方面，界定風險的種類、起因和性質。根據《中國人民銀行分支行內部控制指引》中有關內容，當前人民銀行的基本風險主要有以下幾種：
（一）資金安全風險隱患
一是在處理核算業務中，由于個別崗位人員風險意識淡薄，對個人上機操作密碼缺乏保密措施，甚至有的崗位人員為便于其他人員為自己臨時業務操作，將個人上機密碼告知部門內其他人員，在自己脫崗時，由其代辦業務，導致業務處理一手清現象。二是在涉及資金核算業務崗位的人員配置方面，不相融崗位相互兼崗現象仍有發生。三是個人印章保管不嚴格，不能做到人走進柜落鎖。四是在辦理大宗物品采購過程中，存在提前支付貨款、付款人與原簽訂合同的供貨人不一致等現象，甚至出現付款時忘記扣回預付款現象。五是資金支出中存在越權現象。六是辦理國庫退庫業務時對退庫資料審核不嚴格，甚至發生預算退庫收款單位與預算收入繳入單位不一致現象。以上問題均易導致資金風險的產生。
（二）法律風險隱患
一是辦理行政許可過程中未能對申請資料進行認真審核，形成一些過期無效材料存在于提交的申請材料之中。二是行政許可未按照規定程序辦理，收到申請時未向申請單位開具“行政許可申請受理通知書”，辦結后未及時開具“行政許可決定書”或“不予行政許可決定書”等有效文書。三是行政執法檢查工作底稿不規范，有的缺少檢查人員簽字，事實確認書上被檢查單位未簽字，或簽字人不符合規定要求越權簽字，還有的處罰決定書要素不全，決定書未明確被處罰人的權利，有的處罰決定依據不準確或不清楚。四是經濟合同不規范，合同要素不全，標的物質量等未作明確規定。以上問題均易導致法律風險的產生。
（三）操作風險隱患
一是大宗物品采購不規范。仍有部分單位未將應納入大宗物品采購管理的事項納入大宗物品采購管理。二是在業務操作中漏簽字、簽章，導致發生問題后責任認定難。三是安全教育、監督不到位。有的單位駕駛員連續發生輕微交通事故，單位未引起重視。以上問題均易導致操作風險的產生。
（四）聲譽風險隱患
在對外宣傳或開展調研中，部分人民銀行員工未對擬定的稿件充分論證，也未將其交宣傳管理部門審核，擅自多家媒體投稿，導致一些失真、錯誤信息外傳，易造成聲譽風險。
二、基層人民銀行風險管理工作面臨的難題
（一）風險管理文化尚未真正建立
目前，部分基層央行工作人員仍把風險管理簡單地理解為各種規章制度的制定、裝訂、匯總，認為建立健全了規章制度，就是建立了風險管理機制，沒有真正認識到風險識別、分析、評估等與風險防范之間的關系，沒有積極主動地對常規業務和管理活動定期進行風險分析，缺乏對非常規性業務和管理活動及突發性事件及時進行分析的風險管理意識。
（二）風險評估標準不夠統一
《中國人民銀行分支機構內部控制指引》雖然指出了風險評估是指識別和分析相關風險并確定應對策略，但沒有明確具體統一的評估標準，不同的評估對象有不同的標準，相同的對象也有不同的標準，有的以內部控制五個要素作為評價標準，也有的以內控的有效性、全面性、及時性和合理性為標準。缺乏統一的風險評價標準，就不能對風險做出準確的評估。
（三）風險評估信息交流不夠充分
主要表現在風險評估雙方信息不對稱：一是盡管各業務部門的風險管理信息日益增多，但報送的風險信息資料單一，僅限于各業務部門的內控制度匯編等資料，不能動態反映風險管理現狀。二是風險管理信息傳遞的時效性較差，存在信息滯后現象。三是渠道不夠暢通，平時交流很少，僅僅依靠評估前期準備階段收集信息資料或進行臨時流。
（四）員工綜合素質與風險管理要求仍有差距
一是知識結構不合理。目前，無論是人民銀行內審人員還是業務部門人員，多數只具備會計財務、貨幣信貸、調查統計、外匯管理等專業知識，缺乏風險管理知識方面的專門培訓。二是專業知識更新慢，對新業務風險識別分析不到位，在實際工作中經常套用老文件、老辦法來處理新問題、新情況，缺乏對新風險點的了解和掌控能力。
（五）風險評估長效機制有待強化
風險評估工作應該是一個連續的循環往復的過程。而有的單位和職能部門將風險評估工作作為階段性工作來抓，時緊時松，時斷時續，對于已經識別的風險點未及時防控，對于隱匿的新風險點未能認真排查；在風險應對評價方面未能結合實際情況進行再分析、再評價，已經制定的風險應對措施未能隨著人員、流程、系統和外部環境的變化而更新，使風險控制方案所起的作用逐漸弱化。
三、強化基層人民銀行風險管理的路徑
（一）成立專業風險評估小組
基層人民銀行要成立由單位內具有豐富管理經驗的人擔任的專業風險評估小組，定期對整體風險狀況進行仔細評估，篩選出高風險級以上風險點，進行風險監測和風險控制管理。評估組應組織日常風險識別、風險監測和風險分析，負責建立各業務條線的風險評估模型，收集整理風險評估資料，及時評估分析風險狀況，為領導決策提供依據。行長和分管行領導要充分支持風險評估工作的開展，保證風險評估工作具備足夠的人力、物力以及信息技術水平，及時了解風險評估工作的開展情況。相關職能部門在風險評估過程中要各司其職，既要明確分工，又要通力協作，積極發揮作用。
（二）優化風險評估流程
根據基層人民銀行風險種類的劃分，操作風險在整個風險體系中占有較大的比重。根據操作風險的特點和風險性質，風險評估程序應采用由表及里、自下而上、從已知到未知的方式，依據操作業務流程分析，從基礎崗位做起，從已知的風險延伸到未知的風險，風險評估流程圖如圖1。
（三）建立風險評估模型
風險評估模型的建立應具有一定的準確性，對風險控制能夠起實際指導作用。
1. 風險水平計量。風險水平的計量一般包括兩個方面：固有風險和控制風險效果。實際風險水平與固有風險成正比，與控制效果高低成反比。
實際風險水平是實施內部控制后存在于業務崗位的剩余風險，應該是管理者和決策者能夠接受的風險水平。如果計算出的風險水平與設定的目標值有差距，就需要重新采取控制措施，然后再次進行風險評估，直至確認風險水平在可接受的范圍內。
2. 風險等級劃分。對于固有風險可按風險程度劃分為高風險、較高風險、中風險、較低風險和低風險五級，按照風險程度和風險級別賦予固有風險不同的分值，如高風險值為1-0.9，較高風險值為0.9-0.8，中風險值為0.8-0.7，較低風險為0.7-0.6，低風險為0.6以下；控制效果評價等級（控制評價值）劃分為優良、滿意、有待改進、較差和失效五種狀況，根據內控評價結論劃分為優良90-100，滿意為80-90，有待改進為70-80，較差為60-70，失效為50-60。
3. 風險評估方法。采取層次分析法和德爾菲法相結合的辦法對風險進行識別和評估。運用層次分析法，結合業務流程分析，將復雜的風險問題分解為若干組成要素，按照支配關系和影響程序度分組形成有序的階梯式層次結構，可以將風險因素進一步細分，便于識別對風險點起關鍵性、決定性作用的風險因素。運用德爾菲法充分收集專家意見，對風險評估結果進行不斷的修正，以提高風險評價的準確性。具體方法和步驟是：（1）崗位人員：運用層次分析法和流程分析法，識別細分風險，對風險進行定性評價。（2）部門自我評估小組：采取定量分析方法，賦予評估分值。（3）風險評估部門：采取定性和定量綜合評價方法，匯總整理風險。（4）專業風險評估小組：采取德爾菲法進行評估，確定最終風險結果，提交定性風險評估報告。
4. 風險評估標準。人民銀行總、分行在充分調查、認證、評估風險的基礎上，確定具體業務領域的標準風險水平或安全指標，作為基層人民銀行衡量和比較的標準?；鶎友胄型ㄟ^與安全指標和風險標準對比，確定自身所處的風險等級和風險層次，然后根據風險比較結果，確定是否需要采取控制措施以及控制到何種程度。
第6篇：風險評估分析方法范文
一、引言
電子政務是指政府運用現代計算機和網絡技術，將其承擔的公共管理和服務職能轉移到網絡上進行，同時實現政府組織結構和工作流程的重組優化，超越時間、空間和部門分隔的制約，向社會提供高效優質、規范透明和全方位的管理與服務。電子政務的實施使得政府事務變得公開、高效、透明、廉潔，并實現全方位的信息共享。與此同時，政務信息系統的安全問題也變得非常重要。政務信息系統的安全一旦發生問題，就會影響其功能的發揮，甚至對政府部門和社會公眾產生危害，嚴重的還將對國家信息安全乃至國家安全產生威脅。
目前，電子政務系統的安全風險問題越來越受到重視，因此有必要對電子政務系統的安全性進行評估。對電子政務系統的風險評估，就是對信息系統的脆弱性、信息系統面臨的威脅及其發生的可能性，以及脆弱性被威脅源利用后所產生的負面影響的評估。信息系統安全的風險評估結果，對組織機構在信息安全措施的選擇、信息安全保障體系的建設等問題做出合理的決策有著重要的指導作用。
本文主要是根據英國標準協會（British Standard Institute）制定的信息安全標準BS7799，基于大量的安全行業經驗，借助漏洞掃描等先進的技術，從內部和外部兩個角度，對電子政務系統存在的安全威脅和脆弱性進行分析，對系統面臨的風險進行全面的評估，并通過制定相應措施消除、減少、監控脆弱性以求降低風險性，從而保障信息系統的機密性、完整性和可用性。
二、電子政務系統安全風險評估的關系模型及分析方法
電子政務系統安全風險評估是依據國家有關的政策法規及信息技術標準，對系統及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行科學、公正的綜合評估的活動過程。風險評估要求對信息系統的脆弱性、信息系統面臨的威脅以及脆弱性被威脅源利用后所產生的實際負面影響進行評估，并根據安全事件發生的可能性和負面影響的程度來識別信息系統的安全風險。
⒈電子政務風險評估的關系模型
風險評估的出發點是對與風險有關的各因素的確認和分析，各因素之間的關系可以用圖1所示的模型來表示。圖1中的箭頭及標示信息對信息安全風險相關的各類因素之間的關系做出了說明，這些因素之間的主要關系對風險評估的實施方法是很重要的，概述如下：
――威脅和薄弱點因素都將導致安全風險增加，資產擁有的價值越大，其可能存在的安全風險也越大，而風險控制則用來降低安全風險；
――威脅因素產生和增加安全風險的過程是：利用系統中的薄弱點實施攻擊（或其他破壞），從而對資產的價值造成不利影響，導致產生和增加安全風險；
――薄弱點對風險的增加只能通過威脅對其利用的過程來完成；
――安全要求的引出來自于安全風險，這體現了認識和確定風險的意義所在。
由此可以看出，威脅和薄弱點增加風險的方式是不同的。對于信息系統內的資產來說，威脅是外部因素，而脆弱性則為系統自身所有，它們相當于矛盾的外因和內因。
風險評估的過程就是將這些因素間的關系體現出來，查看組織機構是否屬于以下三種情況之一：
――當風險在可以接受的情況下，即使系統面臨威脅，也不需要采取安全措施；
――系統存在某些脆弱點，但還沒有被威脅所利用，這時需要安全措施能夠監控威脅環境，以防止利用該脆弱點的威脅的發生；
――被采取的安全措施保護資產、減少威脅發生所造成的影響，將殘余風險降低到可接受的程度。
研究表明，組織機構的信息系統的安全程度應該要滿足組織機構現在的應用需求；如果顯示組織機構的信息系統存在不可接受的風險，那么就應該對該信息系統的安全措施進行改進，以達到第三種情況的要求。
⒉電子政務系統的常用風險分析方法及其比較
目前，由于我國信息系統風險的安全評估才剛剛起步，因此我國現在所做的評估工作主要以定性評估為主，而定量分析尚處于研究階段。在風險評估過程中，可以采用多種操作方法，包括基于知識的分析方法、基于模型的分析方法、定性分析和定量分析，等等。無論采用何種方法，其共同的目標都是找出組織機構的信息系統面臨的風險及其影響，以及目前該信息系統安全水平與組織機構安全需求之間的差距。
⑴定量分析方法
定量分析方法的思想是，對構成風險的各個要素和潛在損失的水平賦以數值或貨幣的金額，當度量風險的所有要素（資產價值、威脅可能性、弱點利用程度、安全措施的效率和成本等）都被賦值，風險評估的整個過程和結果就可以量化。
從定量分析的過程中可以發現，最為關鍵的是對威脅事件發生的可能性和威脅事件可能引起的損失的量化。從理論上看，通過定量分析可以對安全風險進行準確的分級，能夠獲得很好的風險評估結果。但是，對安全風險進行準確分級的前提是保證可供參考的數據指標正確，而對于信息系統日益復雜多變的今天，這個前提是很難得到保證的。由于數據統計缺乏長期性，計算過程又極易出錯，定量分析的細化非常困難，所以目前風險評估分析很少完全只用定量的分析方法進行分析。
⑵定性分析方法
定性分析方法是目前采用最為廣泛的一種方法，它需要憑借評估分析者的經驗、知識和直覺，結合標準和慣例，為風險評估要素的大小或高低程度定性分級，帶有很強的主觀性。定性分析的操作方法可以多種多樣，包括小組討論（如Delphi方法）、檢查列表、問卷、人員訪談、調查等。定性分析操作起來相對容易，但可能會因為評估分析者在經驗和直覺上的偏差而使分析結果失準。
⑶定量和定性分析方法的比較
與定量分析相比，定性分析的準確性較好但精確性不夠，而定量分析則相反；定性分析沒有定量分析的計算負擔，但要求分析者具備一定的經驗和能力；定量分析依賴大量的統計數據，定性分析則沒有這方面的要求；定性分析較為主觀，定量分析基于客觀；定量分析的結果很直觀，容易理解，而定性分析的結果則很難統一。由于定量分析和定性分析兩種方法各有其優缺點，現在的風險評估大都采用兩者相結合的方法進行分析，在不容易獲得準確數據的情況下采用定性分析方法，在定性分析的基礎上使用定量方法進行計算以減少其主觀性。
三、電子政務系統安全風險評估要素的提取原則、方法及量化
電子政務系統安全的風險評估是一個復雜的過程，它涉及系統中物理環境、管理體系、主機安全、網絡安全和應急體系等方面。要在這么廣泛的范圍內對一個復雜的系統進行一個全面的風險評估，就需要對系統有一個非常全面的了解，對系統構架和運行模式有一個清醒的認識?？梢姡龅竭@一點就需要進行廣泛的調研和實踐調查，深入系統內部，運用多種科學手段來獲得信息。
⒈評估要素提取的原則
評估要素提取是指通過各種方式獲取風險評估所需要的信息。評估要素提取是保證風險評估得以正常運行的基礎和前提。評估要素提取得成功與否，直接關系到整個風險評估工作和安全信息管理工作的質量。為了保證所獲取信息的質量，應堅持以下原則：
⑴準確性原則。該原則要求所收集到的信息要真實、可靠，這是信息收集工作的最基本要求；
⑵全面性原則。該原則要求所搜集到的信息要廣泛、全面完整；
⑶時效性原則。信息的利用價值取決于該信息是否能及時地提供，即具備時效性。
⒉評估要素提取的方法
信息系統風險評估中涉及到的多種因素包括資產、威脅、漏洞和安全措施。
信息系統的資產包括數據資產、軟件、人員、硬件和服務資產等（參見表1）。資產的價值由固有價值、它所受傷害的近期影響和長期結果所組成。
目前使用的風險評估方法大多需要對多種形式資產進行綜合評估，所獲取的信息范圍應包含全部的上述內容，只有這樣，其結果才是有效全面的。同時，資產評估時還要考慮以下方面：
――業務中最重要的部分是什么？如何通過使用或處理信息而使它們得到支持？這種支持的重要程度如何？
――哪些關于資產的重要決定取決于信息的準確度、完整性或可用性？
――哪些資產信息需要加以保護？
――安全事件對業務或者對該組織的資產影響是什么？
在考慮安全事件對組織資產的影響時，可以參考以下4個方面：
――信息資產的購買價值；
――信息資產的損毀對組織業務的影響；
――信息資產的損毀對政府形象的負面影響；
――信息資產的損毀對政府長期規劃和遠景發展的影響。
在進行資產、威脅和漏洞信息獲取時，需要整體考慮以下的對應關系：
――每一項資產可能存在多個威脅；
――威脅的來源可能不止一個，應從人員（包括內部和外部）、環境（如自然災害）、資產本身（如設備故障）等方面加以考慮；
――每一個威脅可能利用一個或是數個薄弱點；
――每個薄弱點對系統的威脅程度和等級有很大的不同，有的威脅不能消除，只能采取降低威脅程度的策略；
――要考慮各種威脅之間的相互依賴關系和交叉關系；
――考慮威脅薄弱點等隨時間和信息系統的進化而變化的特點，對其要以發展的觀點進行分析。
⒊評估要素量化
對每個安全要素的危害性采取風險模式影響及危害性分析法進行分析，最終得到被評估系統的風險狀況。
風險影響等級的劃分見表2。
為了計算方便，對（v1，v2，v3，v4 ，v5）用（0，0.2，0.5，0.8，1）表示。同時為了討論方便，在這里定義如表3所示的表示符號。
根據信息安全管理體系BS7799的結構特點，對安全要素風險事件的分析主要建立在前三層上。
標準中的第一層是十大管理要項，它標識了被評估系統在各個資產上的重要程度。λi表示系統資產權重分配情況，此時有=1。
標準中的第二層是管理目標層，根據BS7799標準的結構特點，對該層安全要素的風險分析主要是確立其危害程度。該危害程度由評估專家和系統用戶參照表2制定。這里采用Ei,j表示第i個管理要項下的第j個管理目標風險的安全要素危害程度。
標準中的第三層是控制措施層，對該層安全要素的風險分析主要考慮安全要素風險發生的重要程度。用λi,j,k代表第i個管理要項下的第j個管理目標下的第k個控制措施的安全要素風險權重系數。此時，有=1（第j個管理目標下有m個控制措施）。
確立每一層安全要素風險評價如下：
假設第i個管理要項下的第j個管理目標下的第k個控制措施風險發生的概率是αi,j,k，則有：
第i個管理要項下的第j個管理目標的風險發生概率是：
Vi,j=（假設第j個管理目標下有m個控制措施）
第i個管理要項的風險評價是：
Vi=（假設第i個管理要項下有n個管理目標）
最終的風險評價是：V=
綜合可得系統風險評價表達式：
V==
式中：λi由被評估系統的用戶或評估發起者在填寫評估任務時分配。λi,j,k、Ei,j可以通過風險評估數據庫中的權重系數表和危害程度表獲取。
最后通過判斷V落在預先定義好風險評價集的哪一部分，即可判斷被評估系統的風險等級。參照相應的風險等級的描述，從而可以得到被評估系統的總體風險狀況及具體改進意見。
四、電子政務系統安全風險評估的流程
電子政務系統安全的風險評估是組織機構確定信息安全需求的過程，包括環境特性評估、資產識別與評價、威脅和弱點評估、控制措施評估、風險認定等在內的一系列活動（風險評估的流程詳見圖2）。
五、電子政務系統安全風險評估的實施
電子政務系統安全的風險評估是一項復雜的工程，除了應遵循一定的流程外，選擇合理的方法也很重要。為了使風險評估全面、準確、真實地反映系統的安全狀態，在實施風險評估過程中需要采用多種方法。通過對安徽行政學院開發的電子政務模擬教學系統的風險評估,證明這樣的評估流程是正確可行的，其實施過程如下：
⒈參與系統實踐
系統實踐是獲得信息系統真實可靠信息的最重要手段。系統實踐是指深入信息系統內部，親自參與系統的運行，并運用觀察、操作等方法直接從信息系統中了解情況，收集資料和數據的活動。
⒉建立問卷調查表
問卷調查表是通過問題表的形式，事先將需要了解的問題列舉出來，通過讓信息系統相關人員回答相關問題而獲取信息的一種有效方式?，F在的信息獲取經常利用這種方式，它具有實施方便，操作方便，所需費用少，分析簡潔、明快等特點，所以得到了廣泛的應用。但是它的靈活性較少，得到的信息有時不太清楚，具有一定的模糊性，信息深度不夠等；還需要其他的方式來配合和補充。
⒊實用輔助工具的使用
在信息系統中，網絡安全狀況、主機安全狀況等難以用眼睛觀察出來，需要借助優秀的網絡和系統檢測工具來監測。輔助工具能夠發現系統的某些內在的弱點，以及在配置上可能存在的威脅系統安全的錯誤，這些因素很可能就是破壞目標主機安全性的關鍵性因素。輔助工具能幫助發現系統中的安全隱患，但并不能完全代替人做所有的工作，而且掃描的結果往往是不全面的。
⒋從文獻檔案中獲取信息
文獻和檔案記錄了關于信息系統的許多重要的參數和特性。通過文檔和資料的查閱，可以獲取比較完整的系統信息，獲得系統的歷史經驗。在風險評估過程中，這也是十分重要的一種信息獲取方式。
總之，在進行全面問卷調查和現場測試的基礎上，經過集中分析研究，可以得出《電子政務系統安全分析報告》，報告應該包括以下內容：關鍵資產清單、安全威脅和脆弱性清單、分類和概率分布、實施的保護措施清單、風險等級和分類、保護措施建議、整體安全風險評價及應急處理議案，等等。
六、結論
隨著信息安全工作的重要性和緊迫性得到越來越廣泛的認同，對風險評估的研究也在不斷地深入。風險評估是一個從理論到實踐,再從實踐到理論的過程,在不斷的往復循環中得以逐步完善。經過幾年的探索,我國有關方面已經在信息安全風險評估方面做了大量工作，積累了一些寶貴的經驗,然而由于起步晚,也存在以下一些亟待解決的問題：
⑴國內外風險評估方法的研究有待于在實踐中檢驗；
⑵風險評估的工作流程和技術標準有待完善；
⑶自動化的風險評估工具有待加大研發投入和推廣。
參考文獻：
朱方洲，李旭軍.電子政務安全保障體系的研究[J].電腦學習，2006（3）：42-43
馬立鋼，夏軍利.信息系統安全風險評估[J].現代計算機：專業版，2006（1）：49-53
王大虎，楊維，柳艷紅.移動通信信息系統安全風險評估的研究[J].中國安全科學學報，2005，15（7）：74-78
聶曉偉，張玉清，楊鼎才，等.基于BS7799標準風險評估方法的設計與應用[J].計算機工程，2005，31（19）：70-72
科飛管理咨詢公司.信息安全管理概論―理解與實施[M].北京：機械工業出版社，2002
閆強，陳鐘，段云所，等.信息安全評估標準、技術及其進展[J].計算機工程，2003（6）
作者簡介：
周偉良，1967年生，湖南長沙人，安徽行政學院(安徽經濟管理學院)信息管理系主任，副教授，博士，主要研究方向為電子政務、管理信息系統。
第7篇：風險評估分析方法范文
關鍵詞:風險評估;信息安全;評估技術
中圖分類號:TP309文獻標識碼: A 文章編號:1007-9599 (2010) 11-0000-01
Information System Security Risk Assessment Methods StudyChen Liandong1,Lv Chunmei2
(1.Hebei Electric Power Research Institute,Shijiazhuang050000,China;2.North China Electric Power University,Baoding071003,China)
Abstract:The scientific risk assessment is essential to the protection of information systems security,the paper on information security risk management has been introduced,and the variety of risk assessment methods are analyzed and compared.
Keywords:Risk assessment;Information security;Assessment techniques
隨著計算機技術的發展,網絡攻擊、病毒破壞、電腦黑客等信息竊取和破壞事件越來越多,信息安全問題日益突出,因此進行信息系統安全管理具有重要意義。風險評估是信息安全管理的依據,信息系統進行科學的風險分析和評估,發現系統存在問題,對于保護和管理信息系統至關重要。
一、信息安全技術風險管理
信息安全是保護信息系統抵御各種威脅的侵害,確保業務保密性和連續性,使系統遭受風險最小化[1]。信息系統安全包括安全管理技術、風險評估、策略標準以及實施控制等多方面的內容。信息安全管理體系(Information Security Management System,ISMS)是信息系統管理體系的一個部分,包括建立、實施、操作、監測、復查、維護和改進信息安全等一系列的管理活動,涉及策略準則、計劃目標、人員責任、過程和方法等諸多因素[1]。ISO27001是英國標準協會的關于建立和維護信息安全管理體系的標準。ISO27001要求建立ISMS框架過程為:確定管理體系范圍,制定安全策略,明確管理責任,通過風險評估確定信息安全控制目標和控制方式[2]。當信息管理體系建立起來,則可以循環實施、維護和持續改進ISMS,保持體系運作的有效性。
二、風險評估方法概述
風險評估能夠檢測系統面臨的威脅、潛在的安全漏洞和脆弱性,針對性地提出防護和整改措施,保障系統安全。完整的風險評估過程包括:前期調研,了解需求;制定項目計劃,明確范圍,確定各項評估指標體系,成立評估小組;識別并評估信息資產;估算威脅發生的可能性;識別脆弱點及其嚴重成度;進行風險描述,計算風險值,劃分風險等級,得出評估分析報告;制定風險控制方法,進行風險處理。
風險計算描述如下:Risk=R(A,T,V)
其中R是安全評估風險函數,A是資產,T是威脅,V是脆弱性。由此公式可以計算風險值,估計信息系統的安全等級,以及風險對系統的破壞程度或者可能造成的損失程度。下面從不同的角度分析風險評估,得到劃分如下。
(一)基于技術評估和基于整體評估
基于技術評估是指對信息系統現有的技術水平進行評估,包括信息安全人員技術水平、網絡防護技術、信息系統抗攻擊能力等方面進行評估。基于整體評估是從信息系統整體分析,確定信息系統所屬等級,參照等級保護劃分規則,在對系統定級的基礎上進行風險評估。
(二)基于知識分析和基于模型分析
基于知識分析的風險評估方法是依靠評估者經驗進行,采用獲取專家評估經驗,對評估指標因素進行分析,評估信息系統安全?；谀Ｐ头治龅脑u估方法采用建模的方法,分析系統內部以及和外部交互時可能產生的危險因素,從而完成資產、威脅和脆弱性的分析。
(三)定性評估、定量評估和綜合評估
定性評估是指對評估對象各個因素進行相應價值的判斷。需要評估者對評估對象進行定性描述,如只關注威脅事件帶來的損失,忽略了威脅發生的概率,因此得出的評估結果主觀性強,具有數量化水平低等特點。定量評估主要分析資產的價值,威脅發生概率和脆弱點存在的可能性,用量化的數據進行表示,但是量化數據具有不精確特點。綜合評估方法采用定量和定性結合的方法,通常是先進行總體性質的確定,然后進行定量分析,在量化基礎上再進行定性分析。
三、典型評估方法比較
下面列出幾種典型風險評估方法,有故障樹分析、事件樹分析等,趨于定性分析,BP神經網絡、風險評審技術方法趨于定量分析,還有一些綜合評估方法,如層次分析法[3]。
(一)故障樹分析:通過對可能造成系統危險的各種初始因素進行分析,畫出故障樹,計算整體風險發生概率。特點是簡明形象,邏輯關系復雜,適用于找出各種實效事件之間的關系。
(二)事件樹分析:是一種邏輯演繹法,它在給定的一個初因事件的前提下分析此事件可能導致的各種事件序列的結果,可用于找出一種實效引起的后果或各種不同的后果,提高業務影響分析的全面性和系統性。
(三)BP神經網絡:是一種按誤差逆向傳播算法訓練的多層前饋網絡,具有自學習能力,能夠實現輸入和輸出之間的復雜非線性關系。缺點是風險因素的權值確定較難,優點是有自學能力,問題抽象化,適用于事故預測和方案擇優。
(四)風險評審技術方法:通過模擬實際系統研制時間、費用及性能分布,針對不同條件對信息系統的風險進行預測,需多次訪問,數據準確性要求高。
(五)層次分析法:是一種多指標綜合評價方法。首先將相互關聯、相互制約的因素按它們之間的隸屬關系排成若干層次,再利用數學方法,對各因素層排序,最后對排序結果進行分析。特點是減少了主觀因素中的影響,需求解判斷矩陣的最大特征根以及對應的特征向量。適用于為決策者提供定量形式的決策依據。
四、結束語
本文介紹了信息系統安全管理,分析風險評估的流程,對風險評估方法整體從不同角度的進行劃分,其中對幾種典型的評估方法進行了比較和分析。風險評估對于信息安全管理具有重要的意義,相信以后還會出現新的,更加科學的風險評估方法。
參考文獻:
[1]宋曉莉,王勁松.信息安全風險評估方法研究[J].網絡安全技術與應用,2006,12:67-68
第8篇：風險評估分析方法范文
[關鍵字]地質災害 地理信息系統
[中圖分類號] P694 [文獻碼] B [文章編號] 1000-405X（2013）-2-276-2
1 地質災害風險評估研究的意義
①地質災害風險評估是制定防災救災和具體安排防災減災措施的基礎，是政府有關部門組織安排災后救援和分派救援物資的依據；②我國地域遼闊，自然災害種類繁多，進行地質災害風險評估對國民經濟發展布局的調整具有參考價值，促進國民經濟協調發展；③研究建立一套科學的災害評估指標體系、標準和模式，有利于防災減災和災后重建的科學化，給政府和各級救災部門、災后恢復重建工作的正確決策和規劃提供科技支持，有利于政府和人民正確認識災害、了解災情、提高災害意識，從而推動社會減災事業的發展，構建和諧社會。
2 方法和技術路線
2.1 地質災害風險評估理論體系研究
本研究首先搜集國內外相關文獻，進行歸納、整理、閱讀和總結，分析地質災害風險的國內外研究進展，分析地質災害風險研究的發展趨勢與不足；探討基于GIS技術的地質災害風險評估理論與方法；重點研究地質災害風險評估理論體系，從災害評估體系的建立、量化，危險性評估建模、易損性分析，到風險評估建模方法，為本次研究提供理論依據。
2.2 地質災害風險評估系統的研發
基于地質災害風險評估理論，建立以C#語言和基于AicEngine為開發平臺的地質災害風險評估示范系統，開發利用RS技術獲取地質災害風險評估所需數據、基于GIS技術獲取和管理數據的模塊，從地質災害風險評估與制圖的流程出發，進行空間數據處理、災區孕災環境專題信息提取、地質災害時空分布專題信息提取和風險評估建模的模塊開發，構建以多源數據為核心的災害風險快速評估應用示范系統。
2.3 示范應用研究
以"4.14"，玉樹地震為例，對其誘發的地質災害進行災害風險評估示范研究，主要包括：
（1）資料收集、整理與分析，研究的資料包括：地震災區的遙感數據 （TM/ETM+、SPOT、IKONOS、P6，航空影像數據）， SRTMDEM數據，1：25萬水系數據，《中華人民共和國地貌圖集（1：100萬）》的地貌數據，《中國地質圖1：200萬》的地質數據，土地利用數據，降雨數據以及基礎地理數據等。
（2）危險性評估指標提取與量化。包括災區環境地質條件分析，評估指標體系的建立、提取與量化。評估時，綜合考慮災區地震、地質災害的發生過程、發育環境等因子，建立玉樹震區地質災害危險性評估模型、評估指標體系等。
（3）風險評估。地質災害風險（Risk）可以表達為危險性（Hazard）和易損性（Vulnerability）乘積。因此，風險評估分三步進行，首先是危險性評價，確定可能發生災害的概率，其次是易損性分析，進行承災體的識別與易損性評估，最后進行風險評估。
3 地理信息系統分析
地理信息系統（簡稱 GIS）和計算機技術的發展無疑為地質災害區劃研究提供了很好的平臺和技術支撐。由澳大利亞專家在Caims地區利用GIS技術對滑坡風險進行評估，把斜坡地質災害的危險性、易損性、風險評價作為一體進行風險區劃研究，并討論了滑坡的危險性、易損性和風險性三個定量指標的確定方法，得出風險等于危險性、易損性和受災對象的乘積。這一成果代表了滑坡災害及風險區劃制圖技術應用的國際最新水平和發展方向。自80年代以來，GIS技術在區域地質災害評估預測研究中得到廣泛的應用，基本形成了基于GIS技術和"多因素綜合預測法"進行滑坡危險性分區的研究理念，在方法論上，經歷了從定性到定量模型，再發展到非線性學科相結合的過程，提出了各種針對不同地質災害研究的數學模型，諸如：多元回歸法、模糊綜合評判法、神經網路、支持向量機等方法對滑坡產生的危險性進行了有益的研究。
基于GIS技術進行的地質災害區劃研究與地質災害的研究是分不開的。國外對地質災害區劃的研究始于上世紀中期，如：60年代末，美國專家在加里福利亞州，利用"滑坡敏感性預測方法"對該行政區的斜坡進行危險性分區研究（殷坤龍等，2000）。
我國將GIS應用到地質災害評價的工作起步較晚，直到20世紀90年代中后期，隨著高等院校與科研院所將GIS技術全面引入滑坡區域評價〔沈芳等， 1999；許強等，2000；黃潤秋等，2001），使得GIS技術在地質災害區劃研究方面得到推廣應用。以GIS軟件為技術平臺，運用統計分析法、信息量法、因子疊加法、層次分析法、模糊評判法、主成分分析法和神經網絡法等數學方法進行地質災害的危險性、易損性和風險評價已成為地質災害區劃領域研究的發展方向之一。在基于Gls的地質災害區劃研究中，選取一定的指標，如災害密度、災害強度等進行地質災害區劃研究，或選取地質災害相關的基礎條件，運用灰色關聯分析方法確定各因素的權重值、層次分析法、專家評判結合GIS的空間疊置分析技術，即逆行地質災害危險性綜合評估，建立地質災害危險性綜合評價指標體系，進行地質災害危險性評估（朱照宇，2001；張春山等，2003；王軼等，2004）。
第9篇：風險評估分析方法范文
關鍵詞：圍術期；風險評估；手術；麻醉分級
圍術期患者所具有的外科病變及并發內科病變、手術創傷和、麻醉及對應處理等均會產生病理生理變化，從而對患者生命安全造成一定影響作用。對患者實施麻醉處理及手術治療前，應按照其自身基礎病變、生理狀態、麻醉和手術可能對患者機體產生的影響等，因此每位實施麻醉手術患者均需進行正確且全面性術前評估及風險預測，由此實施術前準備、選取適宜麻醉方法及手術方式、有效預防圍術期相關并發癥等并予以合理處理，對于減少圍術期死亡率、增加麻醉手術安全性具有關鍵性作用[1]。
1、國內外麻醉手術術前評估和風險預測標準
美國麻醉醫師學會體格情況分級：Saklad在1941年提出按照患者自身健康狀態及疾病病變程度，實施術前評估，按照7級進行評估分級。在1963年，Dr ipps將評估分級進行修訂，縮減到5級，而美國麻醉醫師學會（ASA）采用了這種分級標準，將其命名為“ASA體格情況分級”，是目前術前評估中最為廣泛的一種應用標準。ASA體格具有較為簡便分級方法，在應用中較為方便，對于每一位實施手術治療的患者進行術前評估時均較為適用。
全身情況分級：此分級方法為我國臨床實踐中按照患者接受手術麻醉處理是的耐受程度經驗而總結的，患者全身情況根據經驗結果可以分成兩類4級，其標準與ASA分級具有高度相似性。
急性生理學及慢性健康評分系統Ⅱ評分標準：1985年，Knau s等人首先總結急性生理學與慢性健康評分系統Ⅱ（APACHEⅡ），此評價標準包含3個內容：急性生理學評分指標、年齡指數與慢性健康狀態，按照得分多少評估患者疾病嚴重程度，分值越高，表明患者疾病程度更加嚴重。
患者生理學及手術嚴重性評分系統（POSSUM評分系統），Copeland等總結分析大量手術資料，在經驗基礎上研究而出，此評分系統包括12項術前生理學評分及6項手術嚴重程度評分。評分標準按照各個指標實際改變程度分成4級，相應分值為1，2，4，8分。而在此評分系統應用基礎上，得到一定修正，分別為P-POSSUM評分系統（1996）、Cr-P OSSUM評分系統（2004）。在臨床實際應用中，POSSUM評分具有一定程度局限性。經研究發現，采用P-POSSUM評分系統對死亡率進行預測時，其結果與術后實際死亡率并無明顯一致性，Da s等人經研究發現，P-POSSUM評分系統對于接受婦科手術治療的患者并無適用性。研究顯示，此種評分系統對于小兒患者評估并無適用性，而且POSSUM評分系統需要采集各個生理學指標，且采集時間應盡可能接近手術時間，要求采集資料數據具有較高完整性，若缺失其中任何一項數據往往均會對評分結果造成一定不利影響[2]。
2麻醉分級標準
目前，ASA體格情況分級及手術治療患者全身情況分級得到較為廣泛應用，但所應用的分級因素并無手術創傷、年齡等對圍術期患者安全具有較高影響的一些因素，所有存在較為顯著局限性；而且A PACH E Ⅱ評分和POSSUM評分在應用中具有一定復雜性，臨床中患者實際的血壓、心率等均存在較為明顯波動性，經大量研究發現，此兩種評分系統對于手術治療后及危重患者評估具有良好適用性[3]。
麻醉分級標準是按照患者全身情況分級（ASA分級）、手術分級、患者年齡分成4級標準，主要標準如下所示。1級：患者全身情況1類1級或ASA1級，實施1類手術治療，患者年齡范圍10-49歲，進行麻醉處理及手術治療風險較小。2級：患者全身情況為1類或ASA1-2級，實施1-2類手術治療，或年齡范圍為3-9歲、50-59歲。其中有一項為2級（類）或年齡在標準內為2級（類）。實施麻醉處理及手術治療存在一定風險性。3級：患者全身情況為1類、2類1級或ASA1-3級，實施1-3類手術治療，或年齡范圍1-3歲或60-79歲。其中一項達到2級（類）或年齡在標準內為3級（類），實施麻醉處理及手術治療存在較高風險性。4級：患者全身情況為1-2類或ASA1-5級，實施1-4類手術治療，或年齡低于1歲、>80歲者。其中一項為4級（類）或年齡在標準內為4級（類），實施麻醉處理及手術治療存在極高風險性。
參考文獻：
[1]高強，竇倩慧，方超，等.影響結腸癌患者術后并發癥的多因素分析[J].中國普外基礎與臨床雜志，2011，18（2）：159163
