风险评估分析方法汇编(三篇)

发布时间：2023-09-21 10:02:46

绪论：一篇引人入胜的风险评估分析方法，需要建立在充分的资料搜集和文献研究之上。搜杂志网为您汇编了三篇范文，供您参考和学习。

风险评估分析方法

篇1

中图分类号：TP309 文献标识码：A文章编号：1007-9599 (2011) 15-0000-01

Threat Analysis of Information Security Risk Assessment Methods Study

Huang Yue

(Naval Command College,Information Warfare Study Institute,Nanjing211800,China)

Abstract:A threat-based analysis of quantitative risk assessment methods,the use of multi-attribute decision theory,with examples,the security of information systems for quantitative risk analysis for the establishment of information systems security system to provide a scientific basis.

Keywords:Risk assessment;Threat analysis;Information security

随着信息技术的迅速发展和广泛应用，信息安全问题已备受人们瞩目，风险评估是安全建设的出发点，在信息安全中占有举足轻重的地位。信息安全风险评估，是指依据国家有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程[1]。信息安全风险评估方法主要有定性评估和定量评估。定性评估主要依赖专家的知识和经验，主观性较强，对评估者本身的要求很高；定量评估使用数学和统计学工具来描述风险，采用合理的定量分析方法可以使评估结果更科学。本文提出一种基于威胁分析的多属性定量风险评估方法，建立以威胁为核心的风险计算模型，通过威胁识别、威胁后果属性计算及威胁指数计算等步骤对信息系统的安全风险进行定量分析和评估。

一、风险评估要素分析

信息系统安全风险评估的基本要素包括资产、脆弱性和威胁，存在以下关系：a资产是信息系统中需要保护的对象，资产拥有价值。资产的价值越大则风险越大b风险是由威胁引起的，威胁越大则风险越大c脆弱性使资产暴露，是未被满足的安全需求，威胁通过利用脆弱性来危害资产，从而形成风险，脆弱性越大则风险越大[2]。

二、风险评估模型

威胁是风险评估模型关注的核心问题，威胁利用脆弱性对信息系统产生的危害称为威胁后果。威胁发生的概率以及威胁后果的值是经过量化的。风险按式计算R=f（A，V，T）=f（I，L（V，T）），R风险；A资产；V资产的脆弱性；T威胁；I威胁后果；L安全事件发生的可能性。风险评估模型通过计算威胁利用脆弱性而发生安全事件的概率及其对信息系统造成损害的程度来度量安全风险，从而确定安全风险大小及决策控制。评估过程主要包括威胁识别、威胁后果属性及威胁指数计算。（一）威胁识别。识别信息系统威胁主要有德尔菲法、故障树分析法、层次分析法等[3]。通过德尔菲法，结合对系统历史数据的分析，以及系统漏洞扫描等手段来确定信息系统中存在的威胁。其中，历史数据分析包括对信息系统中资产遭受威胁攻击的事件发生的概率等进行统计和计算。例如：近几年来全球范围内的计算机犯罪，病毒泛滥，黑客入侵等几大问题，使企业信息系统安全技术受到严重的威胁，企业对信息系统安全的依赖性达到了空前的程度，一旦遭到攻击遭遇瘫痪，整个企业就会陷入危机。某企业信息系统，面临的主要威胁有：1黑客蓄意攻击：出于不同目的对企业网络进行破坏与盗窃；网络敲诈2病毒木马破坏：病毒或木马传播复制迅猛3员工误操作：安全配置不当，安全意识薄弱4软硬件技术缺陷：硬件软件设计缺陷，网络软硬件等多数依靠进口5物理环境：断电、静电、电磁干扰、火灾等环境问题和自然灾害。（二）确定威胁后果属性。在评估威胁对信息系统的危害程度时，要充分考虑不同后果属性的权重，才能真正得到符合被评估对象实际情况的风险评价结果。最终确定的风险后果属性类型可表示为X{xj|j=1，2，…m}：其中，xj为第j种后果属性，权重W：{wj|j=1，2，…m}.列出企业信息系统的威胁后果属性及权重：收入损失RL，生产力损失PL，信誉损害PR。权重为0.3，0.5，0.2。（三）确定后果属性值。通过收集历史上发生的有关该类威胁事件的资料数据为风险评估提高可靠依据。最终确定威胁发生概率P：{pi|i=1，2，…n}及相应后果属性值集合V：{vij|i=1，2，…n；j=1，2，…m}，pi是第i种威胁ti的发生概率，vij为威胁ti在后果属性xj上可能造成的影响值。由于多种后果属性类型有不同的量纲，为度量方便，消除了不同量纲，得到后果影响的相对值V*：{vij*|i=1，2，…n；j=1，2，…m}，vij*表示威胁在后果属性方面造成的相对后果影响值。Vij*=vij/max{vkj}本例中，最终确定的结果见表1。

表1：风险概率与后果属性值

编号概率后果属性值

RL w=0.3 PL w=0.5 PR w=0.2

V1/万元 V1* V2/h V2* V3/级 V3*

1 0.45 1000 1 4 0.4 5 1

2 0.35 1000 1 10 1 4 0.8

3 0.1 500 0.5 4 0.4 2 0.4

4 0.08 250 0.25 6 0.6 2 0.4

5 0.02 100 0.1 2 0.2 1 0.2

（四）计算威胁指数。使用威胁指数来表示风险的大小和严重程度。对于威胁ti，定义相应的威胁指数：TIi=pi*∑（wjvij），pi-威胁ti发生的概率，∑（wjvij）-威胁ti可能造成的总的后果影响，wj-后果属性xj的权重，vij-威胁ti在后果属性xj上可能造成的影响值。如前所述，安全风险评价的主要目标是为了度量出各个威胁的相对严重程度，并对其进行排序，以利于进行安全决策。因此，为使评估结果更加清晰和便于比较，这里用相对威胁指数RTI来表示威胁的相对严重程度。归一化，得到各威胁的相对指数。RTIi=（TIi/max{TIk}）*100经计算，黑客蓄意攻击93，病毒木马破坏100，员工误操作13，软硬件缺陷11，物理环境1

三、结论及展望

结合企业信息系统实例，得出信息系统的相对威胁程度，使风险评估更易量化，使评估结果更加科学和客观。下一步工作是继续完善该评估模型，设计实现基于该方法的信息系统风险评估辅助系统，更好地促进信息系统安全管理的实施。

参考文献：

[1]GB/T20984-2007.信息安全技术信息安全风险评估规范[S].中华人民共和国国家标准,2007

[2]陈鑫,王晓晗,黄河.基于威胁分析的多属性信息安全风险评估方法研究[J].计算机工程与设计,2009,30(1):39

[3]sattyTL.How to make adecision:the analytichier archprocess[J].European journal of operation research,1990,48(1):9

（二）药品问题广告主要表现

在该段时间内，三大网站中存在问题的4个药品广告中，均为一个广告《打呼噜――当晚止鼾》在不同时段在不同的网站中投放。该广告存在诸多问题。首先，该广告含有不科学地表示功效的断言和保证，在广告中提到“当晚止鼾，一个月呼吸顺畅，二个月睡眠质量提高，三个月告别打呼噜”；电子生物『止鼾器治疗打呼噜，不手术、不吃药，不用电，纯物理疗法，安全可靠，被誉为“绿色疗法”；“安全无毒，对身体没有任何影响；舒适耐用”等等。其次，利用他人名义、形象作证明。“他人”具体是指：医药科研、学术机构，专家、医生、患者或者用户。在该广告中，有利用具体的患者照片以及一些具体患者做广告宣传，“上海的刘芳32岁，是一个患者的妻子……江苏的老人陈老板自述……”这些都是利用具体的患者或者用户的名义做广告宣传。再次，含有“最新技术”、“最先进制法”等绝对化用语和表示。在该广告中，多次提到“采用国际医学界推崇的绿色物理疗法”、“为国际第一个戴在手腕上的止鼾产品，美国原装产品，畅销欧美20年，2010年由北京盛大电子科技有限公司引进中国大陆”等等。

三、解决网络广告问题的对策

一般来说，只要是广告，就要遵守《广告法》，但有关在网络媒体上广告，《广告法》中未提及。对于管理部门而言，出来规定网络公司承接广告业务必须对其经营范围进行变更登记外，如何界定网络广告经营资格，检测和打击虚假违法广告，取证违法事实，规范通过电子邮件发送的商业信息，对域外网络广告行使管辖权等一系列新的课题，都尚待探讨。因此，针对以上网络中的特殊商品广告违法行为，笔者认为应该采取以下对策：（1）网络经营者，网络广告者要牢固树立为人民服务、为社会主义事业服务的宣传宗旨，加强行业自律和职业道德修养，在思想上筑起防范不良广告的“大堤”。网络广告相关从业人员需要认真学习广告法规，特别是特殊商品、服务广告标准，对于违反广告法规的广告应该予以拒绝，净化传播广告的空间，给消费者提供一个良好的信息平台。（2）对于违反广告法规的广告，在追寻广告商责任的同时，应对该网站实施一定的惩罚。网站特别是大型的有一定影响力的网站作为广告的载体，有责任正规广告，为消费者提供真实、准确的信息。对于违法广告的网站，相关部门应该追究其责任，并进行经济处罚。（3）普通消费者应该了解基本的广告法规内容，从而判断简单的广告信息真伪，了解该广告是否合法。普通消费者学习广告法规，能够提高他们的基本素质，帮助消费者辨别广告的真伪，帮助选择信息，从而保护自己的合法权利。

参考文献：

[1]吕蓉.广告法规管理[M].上海:复旦大学出版,2003,9

[2]刘林清.广告监督与自律[M].湖南:中南大学出版社,2003,7

[3]倪宁.广告学教程[M].北京:中国人民大学出版社,2004,8

[4]刘敏.强化媒体治理虚假广告的责任意识[J].现代广告,2010,3

篇2

该类风险涉及到的岗位有税务稽查岗、税收法制岗、税收政策管理岗、领导岗。风险易发时间在办理重大税务案件审理之前、之中、之后。具体风险行为分析：

风险行为：重大税务案件审理委员会作出了错误的行政处罚、处理决定。

风险分析：重大税务案件审理委员会在审理过程中，不能准确掌握案件准确定性处理的基础数据和有关情况，导致应当移交司法机关追究刑事责任的案件未移交；或者审理委员会成员，对已经符合移送条件的案件故意不移送；或者对案件的审理在程序、文书证据、案件定性等方面违法或者不准确，审委会作出的处罚、处理决定不正确。这些行为可能导致税务机关承担“不移交案件”的刑事责任。

防控措施：一是判断稽查人员调查取证是否符合相关程序规定，证据是否合法有效，是否依法收集并留存了各种执法依据。二是全面、准确、规范地引用税收法律、法规、规章、税收规范性文件极其具体条款。对于疑难点的政策问题，及时请示上级局给予明确答复，并认真遵照执行。三是按照省局的“一个标准四项制度”，按照规定进行处罚，对特殊情况需要高于或抵于裁量标准的，要说明原因。四是重大税务案件审理委员会要注意把好案件依送关，对涉嫌犯罪的应当制作涉税案件移送书，及时移送司法机关处理。行政执法机关负责人应当自接到移送案件的书面报告之日起3日内作出批准移送或者不批准移送的决定。

二、未按规定组织听证类风险与防控

该类风险涉及到的岗位有税务听证岗、领导岗、税收政策管理岗、税务行政复议岗。风险易发时间在作出税务行政处罚决定和税务行政许可决定之前、税务行政复议案件审理之中、税收规范行文件起草之中。具体风险行为举例分析：

例一风险行为：除涉及国家秘密、商业秘密或者个人隐私的外，税务行政处罚听证、税务行政许可听证、税务行政复议案件听证、税收规范性文件听证未公开进行，未向社会公告。

风险分析：该行为可能影响听证结果和行政行为的公众信服力，降低税务机关的威信，并可能导致执法行为无效，使税务机关在行政复议和行政诉讼中处于不利地位，具体行政行为被行政复议机关决定撤消或被人民法院判决撤消。违反法定的行政处罚程序、行政许可程序、行政复议听证程序，税务人员可能要承担行政责任。

防控措施：除涉及国家秘密、商业秘密或者个人隐私的以外，听证会应当允许群众旁听，公开进行，接受社会监督，如不公开听证，应当宣布不公开听证的理由。听证公告应在本级政府公报、税务部门公报、本辖区范围内公开发行的报纸或者政府网站、税务机关网站上刊登，不具备以上公布条件的税务机关，应当在办税服务场所和公共场所通过公告栏等形式向社会公告，同时注意听证公告的证据保留，如在办税服务张贴听证公告，应当采取拍照等形式固定证据。

例二风险行为：未按规定期限组织税务行政处罚听证、税务行政许可听证行为。

风险分析：该行为可能导致执法行为无效，使税务机关在行政复议和行政诉讼中处于不利地位，具体行政行为被行政复议机关决定撤消或被人民法院判决。违反法定的行政处罚、行政许可程序的，税务人员可能要承担行政责任。

防控措施：一是提高工作效率，除公告送达听证通知书等一些特殊情况外，税务必须在法定时限内组织听证，根据《税务行政处罚听证程序实施办法（试行）》第五条和〈中华人民共和国行政许可法〉第四十七条第一款的规定，税务机关应当在收到当事人行政处罚听证要求后15日内举行听证，收到申请人、利害关系人行政许可听证要求后20日内组织听证，超期举行听证属于执法程序违法。二是利用计算机设计听证工作流程，置于征管系统里，对于要求举行听证的案件，计算机随时提醒税务机关按时组织听证，提高具体工作人员责任心，加强内外部的监督。

三、税务行政复议类风险与防控

该类风险涉及到税收法制岗和领导岗，风险易发时间在办理税务行政复议案件之前、之中、之后。具体风险行为分析：

例一风险行为：受理税务行政复议的机构对行政复议申请未按规定受理；对应当受理的行政复议申请无正当理由不予受理；对作出的《受理行政复议通知书》或者《不予受理复议裁决书》未按规定期限送达；对申请人按照规定提出的抽象行政行为审查申请不予处理或答复。

风险分析：行政复议机关或机构不履行法定的行政复议职责，产生不作为和消极作为的行为，直接负责的主管人员和其他直接责任人员被依法给予行政处分，在行政诉讼中存在败诉的风险。

防控措施：一是行政机关的负责人要对行政复议高度重视，加强行政复议机构建设，杜绝有案不收、有案不办的案件发生。其次，行政复议机构要严格按照《税务行政复议规则》的第44条的规定进行审查，对同时符合八项规定条件的，应当受理，并制作《受理复议通知书》送达申请人；对不符合法定要件的，可以受理后驳回复议申请；对属于行政复议受理范围，但是不属于本机关受理的行政复议申请，应当决定不予受理，并告知申请人向有关行政复议机关提出；对行政复议申请材料不齐全或者表述不清楚的，行政复议机构可不经内部审批程序，在收到申请之日起5日内，制作《复议申请补正通知书》，告知申请人需要补正的事项和合理的补正期限。补正后，复议机构根据申请人补正的情况可以分别作出处理。二是注意对抽象行政行为的行政复议处理。申请人认为税务机关具体行政行为所依据的以下4类规定不合法，在具体行政行为申请复议时一并提出的，或者在作出行政复议决定以前提出了审查申请的，税务机关应当受理：一是国家税务总局和国务院其他部门的规定；二是其他各级税务机关的规定；三是地方各级人民政府的规定；四是地方人民政府工作部门的规定。受理后，审查确定本机关对该规定有权处理的，应当在30日内依法处理，无权处理的，应当在7日内按照法定程序逐级转送有权处理的行政机关依法处理，有权处理的行政机关应当在60日内依法处理。处理期间，中止对具体行政行为的审查。

例二风险行为：被申请人在规定期限内未按照具体行政复议决定的要求重新作出具体行政行为，或者违反规定重新作出具体行政行为的。

风险分析：被申请人（税务机关）不履行或者无正当理由拖延履行行政复议决定的，对直接负责的主管人员和其他直接责任人员依法给予行政处分，重新作出的具体行政行为违法的，可能导致税务机关在诉讼中败诉。

防控措施：一是对“重新作出具体行政行为”的认定。行政复议法及实施条例未规定何为“重新作出具体行政行为”。因此，可以参照《关于行政诉讼法的若干解释》第五十四条的规定：被申请人重新作出的具体行政行为与原具体行政行为的结果相同，但主要事实或者主要理由有改变的，即属于重新作出具体行政行为。二是重新作出具体行政行为的期限规定。《行政复议法》及实施条例对被申请行政机关重新作出具体行政行为的期限没有规定。如果税收相关法律、法规有规定税务机关作出具体行政行为期限的。依照规定作出，如果没有规定期限的，应当按照《行政复议法实施条例》的规定，在60日内重新作出具体行政行为。三是对新的具体行政行为不服的，申请人仍然可以申请行政复议或者向人民法院提起行政诉讼。

四、税务行政诉讼类风险与防控

该类风险涉及到的岗位有税务行政应诉岗、领导岗，风险易发时间在税务行政诉讼之中、之后。具体风险行为分析：

例一风险行为：未按照人民法院通知的开庭时间应诉，无正当理由拒不到庭，因特殊情况或不可抗力不能按时出庭的，未向人民法院申请延期开庭。

风险分析：被告无正当理由拒不到庭的，人民法院可以缺席判决，除在庭前交换证据中没有争议的证据外，被告提供的证据不能作为定案的依据，可能使税务机关在行政诉讼中处于不利地位，导致税务机关败诉，并影响税务机关的声誉。如税务人员渎职、失职的，可能要承担行政责任。

防控措施：根据《行政诉讼法》第四十八条规定：“经人民法院两次合法传唤，原告无正当理由拒不到庭的，视为申请撤诉；被告无正当理由拒不到庭的，可以缺席判决。”同时《最高人民法院关于行政诉讼证据若干问题的规定》第三十六条规定：“经合法传唤，因被告无正当理由拒不到庭而需要依法缺席判决的，被告提供的证据不能作为定案的依据，但当事人在庭前交换证据中没有争议的证据除外。”税务机关应加强法律知识学习培训，树立在行政诉讼中法律地位平等理念，改变官僚作风，塑造亲民形象。税务机关法定代表人或诉讼人应按时出庭应诉。

篇3

中图分类号：X820.4文献标识码：A文章编号：1007-9599 (2010) 10-0000-02

Risk Assessment Method Based on Improved Entropy Weight and Gray Correlation Analysis

Luo Dongmei

(GuiZhou University,Guizhou Key Laboratory for Photoelectric and Application,GuiYang550025,China)

Abstract:Entropy for the current method based on traditional risk assessment of the limitations and the complex linkages between risk factors,we present an improved entropy and gray relational analysis of risk assessment methods.

Keywords:Risk assessment;Improved entropy;Gray correlation analysis;Z-scres standardization

风险评估技术作为保障信息系统安全的基础技术近日得到了快速地发展，但由于评估中受评估者的主观影响和评估标准的不完善等使得风险评估结果总会存在不同程度的偏差，研究者都在努力地探索一种更为客观准确的评估方法。文献[1]中的熵权值没有根据风险因素在评估中所起作用的特性而不同量化处理，使熵权值出现一些偏差；文献[2]则是改进的熵权法在输电设备环境分析中的应用；因此本文提出一种基于改进熵权的风险要素权值计算法，并结合灰色关联分析法综合分析信息系统中风险评估对象的复杂关联性，进而获得更为客观、有效的评估结果。

一、信息安全风险评估方法基础

（一）改进的熵权

熵（Entrony）[3]的概念起源于热力学，是对系统状态无序程度的度量；后来被引用于信息论中，用来度量信息的不确定性，但信息系统是一种有序程度的度量；因此二者绝对值相等，符号却相反。在多个目标决策评价中可量化决策者的主观判断信息，从而计算基于熵的评价因子的相对权值。设系统评估体系有m个评估对象，n项评估指标，以此构造原始评估矩阵X=（xij）m×n。对于某项指标xj，指标值xij的差距越大，则该指标在综合评价中所起的作用越大，反之就越小。若指标值全部相等，则该指标的评定在综合评价中不起作用。信息熵为：

，其中p（xi）为指标xi在评估中的概率。在熵值法的计算过程中负值不能直接参与计算，极值应做相应变换，本文采用Z-scores标准化变换：，其中为第j项指标的均值，即：； rj为第j项指标的标准差，即：。一般xij的范围为[-1，1]，为消除负值，可将坐标向右平移，即，再进行评价。以此得到标准化后的评估矩阵，记为：。

（二）结合改进熵权的灰色关联分析法

灰色关联分析方法是由华中科技大学邓聚龙教授于1982年首先提出的[4]。其基本思想是根据序列曲线几何形状的相似程度来判断各事物之间的联系是否紧密。曲线越接近，相应序列之间的关联度就越大；反之就越小。改进熵权的灰色关联分析基本步骤如下：

（1）根据前面1.1节的方法可由原始评估矩阵得到标准化后的评价矩阵。此处记为：。（i）求各因素指标的比重；（ii）求第j项指标的熵值ej，；（iii）计算j项的差异系数gj，，当gj越大时，指标越重要；（iv）计算各项熵权wj，，其中wj满足，。

（2）灰色关联分析：（i）根据评估矩阵各风险要素的特性对其进行极大值或极小值无量纲化处理，即从评估矩阵中选取最优序列作为参考序列，再分别对序列进行无量纲化处理，；（ii）求绝对差Aij，Aij=pij－pijmax颍并求其最大值和最小值，进而求每一序列的最大绝对误差和最小绝对误差；（iii）求关联系数，，其中为分辨系数，一般取0.5比较合适；（iv）求加熵权关联度，；根据关联度进行排序，关联度越大说明与样本越接近，表明对系统贡献越大，反之越小。

二、实例分析

现以某网站系统的风险评估为例进行分析。根据信息安全风险评估协议《GB/T 20984-2007信息安全技术信息安全风险评估规范》[5]和系统的特点建立风险评估矩阵，如下表1所示：

Step 1：根据前面1.2节的1）和1.1节的方法可写出标准化后的风险评估矩阵B，如下所示：

再由后面的几个步骤最终可计算出风险要素的熵权集为：

wj=（0.0805，0.0497，0.0819，0.0687，0.1063，0.1831，0.0271，0.1267，0.2760）

Step 2：根据1.2节2）的（i）分析对原始风险评估矩阵做极大值或极小值无量纲化处理，变为：

Step 3：由1.2节2）的公式（ii）和公式（iii）计算关联系数矩阵R为：

Step 4：计算风险评估矩阵加改进熵权的灰关联度，由（2）的（iv）公式可得：

，由结果可知风险评估体系中数据的关联度最大，所有的评估对象优劣排序为：数据>管理>网络系统>应用系统>物理环境>主机系统。说明该网站系统的数据所面临的风险最大，急需提出相应的方案解决，比如更改登录设置或口令加强等方法有效改善数据的安全状况。

三、结束语

改进的熵权法用Z-scores标准化对数据初始化处理，客观的减小了评估数据的偏差，并结合到灰色关联分析法中，该方法简单有效，能比较准确的评估复杂信息系统的风险；但由于本文所选取的评估对象范围比较大，因此最后的结果不能很明确的知道风险具体是什么，有待于建立更完善的风险评估体系。

参考文献：