时间：2022-03-13 00:21:37
引言：易发表网凭借丰富的文秘实践，为您精心挑选了九篇系统安全风险评估范例。如需获取更多原创内容，可随时联系我们的客服老师。
【关键词】电力系统 安全风险评估 分析
随着我国电力系统规模的扩大，可能引发大面积停电的因素也不断增多，因此在全面考虑各种因素的基础上对复杂电力系统进行安全风险评估的需求更加迫切。因此，在加强电力系统安全稳定控制研究的同时，也必须注重对电力系统进行安全风险评估分析，以使相关人员可以及时地了解整个系统的安全风险，从而有针对性地提出防范对策。
1 电力系统安全风险评估的指标体系
电力系统运行的安全性，是指在突发性故障引起的扰动下，系统保证避免发生严重供电中断的能力。电力系统复杂，需要构建一定的风险评估指标体系。风险评估指标是风险评估的关键，只有建立科学、合理、实用的评估指标体系，才能对电力系统的安全风险进行客观、准确的评估，评估结果才具有实际指导意义。电力系统的安全性评估研究主要有 3 类方法，即确定性评估、概率评估、风险评估。电力系统由大量的发电机、变压器、母线、架空输电线路、断路器、隔离开关负荷等元件组成。设备停运是系统失效的根本原因，系统风险评价首要工作就是要确定元件的停运模型。
由于风险按每一个元件、每一起事故和每一类安全性问题进行计算，因此可以将对系统的整体风险评价进行分解，分解为对各类安全性问题的评估，并分类计算风险指标值，来反映系统安全问题的不同方面。在本文中定义了四类安全性问题，分别是过负荷风险、低电压风险、电压崩溃风险和功角失稳风险。根据这些风险建立一套具有科学性、实用性、完整性的安全风险评估体系。该体系包含了结构、技术、设备三大方面的风险指标。
2 基于状态检修的电力系统故障概率模型
本文基于状态评估推算设备故障率的方法，在此基础上，按各状态量对线路安全运行影响程度的轻重进行权重，通过对历史数据进行统计和当前设备进行评分以及权重系数建立了系统元件状态量评价表，从而对电力系统线路元件故障率进行评价。并依据2008年初国家电网公司颁布了《输变电设备状态检修试验规程》和相关设备的状态评价导则，该导则为输变电一次设备的状态量拟定了扣分标准。具体的基于状态检修的电力系统故障概率模型如下：
研究表明，设备状态评分与故障率之间存在如式（2-1）所示的指数关系：
P = Ke- （2-1）
式中：I ：设备状态评分值，即通过设备状态评价导则获得的状态评价得分；
K：比例系数；
C：曲率系数；
p：平均故障率，其取值范围O～1。
由上式可见，状态评分的数值越大，设备故障率也就越高。
关于公式（2-1）中K、C值的求取，需根据各电力企业所辖电网的线路元件状
态和平均故障率进行统计计算，求得适合于该区域电网的K、C值，统计计算方法如下：
根据收集数据的统计，可以由年故障线路元件数与线路元件总数得出线路元件的年故障发生率，即
P= x 100% （2-2）
式中：n：故障线路元件数；
N：线路元件总数。
基于历史统计数据的最小二乘拟合公式为：
P= x 100% （2-3）
式中：p：线路元件的年故障发生概率；C ×I
Ni：某一分类的线路元件数；
N：线路元件总数；i为线路元件的分类，i=1～4；
I ：根据i的分类按照对应于I 分值上下限的平均值代入。
只要获得某地区电网2年及以上的线路元件故障率p的统计数据及线路元件状态评分I ，就可以通过反演计算获取适合于该区域电网的比例系数K和曲率系数C。
3电力系统安全风险评估分析
电力系统安全风险评估分析首先要根据上文构建的指标体系和电力系统模型来计算和分析。具体操作包括风险指标计算和系统安全风险评估分析。
在计算流程中，如下图1。
图1 风险指标计算流程图
首先确立初始计算条件以及研究对象，包含所有需要计算的可能发生故障的元件；利用已知历史数据计算目标集内每个故障发生的概率。对于设备停运故障，计算每个故障发生。后系统的潮流分布情况，从潮流结果中运用有效数据按照上面所建立的模型计算过负荷风险指标、低电压风险指标。对于电压崩溃指标中的有功裕度值，计算的是所研究区域中所有负荷同时按一定比例增长的结果；其中负荷增长过程中，设负荷功率因数不变。功角失稳指标只计算线路两端发生短路故障的情况。求出每个故障下的各种风险指标。最后，当集内的所有故障全部计算完后，通过风险指标的整合对系统安全性进行风险评估分析。
4 结语
本文首先提出了一套电力系统风险评估的评价指标体系，针对状态检修电力系统风险评估的量化需求，提出了一套的概率模型。最后，给出该评价指标计算路径和评价方法流程在电力系统安全风险评估中的应用的步骤，可为电力人员提供借鉴与参考作用。但电力系统安全风险评估通常是在政府的监管下进行的，因此评估体系必须符合便于政府监管部门开展评估工作的原则。
参考文献：
[1]陈亦平，洪军.巴西“11.10”大停电原因分析及对我国南方电网的启示[J].电网技术，2010，34（5）： 77-82.
通过对以上信息系统安全风险管理标准和研究成果的分析，信息系统安全风险的影响因素应包含以下几个方面【1-8】。（1）物理环境安全性：主要是指信息系统的硬件部分的可靠性。信息系统安全首要问题是必须保证计算机硬件的可靠性。信息都是以ASCII码的形式存储在计算机上面的，一旦计算机物理硬件出现问题，很多信息将会丢失，所以必须保证信息系统存储硬件的可靠性，同时，计算机硬件对设备存放的环境也很重要，必须保持计算机周围的散热和通风效果较好，减少机房灰尘，这样能有效保证计算机设备的寿命和安全，减少计算机等硬件设备的损坏机率。（2）网络运行安全性：主要是信息系统在进行收集、储存、整理和发掘过程中的信息保存和传输的安全性。信息系统的正常运行和信息的存储与挖掘是需要在信息系统之间进行的，这就必须保证信息的安全和传输网络的可靠。为了避免信息损失或丢失，应该做好信息的及时备份；其次是应该做好防毒工作，如今的病毒隐藏越来越深，对数据的破坏程度也越来越严重，所以必须做好病毒防范措施；再次就是保证信息系统在信息传输过程中的网络通信协议安全，这样能避免信息数据被其他人截获和利用。所以，做好网络运行安全措施，是避免信息系统安全风险的有效措施。（3）信息保密状况：主要是对信息系统使用过程中的保密措施。要做到信息不被其他人盗取和利用，必须做好信息数据的保密工作，应该根据不同职位级别制定不同的信息使用和访问权限，不仅要有专用的使用者身份鉴别、访问控制等，还必须进行电磁泄密防护，做好抗抵赖性和入侵检测，保证信息系统的信息数据的保密工作，有效降低信息系统的安全风险。（4）安全管理能力：信息系统中信息的收集和管理都是有管理人员参与的，基于人性的不确定性和功利性，信息数据很容易被泄密，所以必须加强管理层的保密工作和安全防范意识。在对信息数据进行管理的时候，必须建立专人专责的管理制度，对管理人员加强安全保密意识的培养，同时对于信息系统的不同级别的密码和密匙要分开管理，将信息系统的安全威胁系数降到最低。（5）威胁对抗能力：随着黑客数量的逐渐增加，黑客已经渗透到各行各业，一些企业或组织的信息系统的机密数据从而成为黑客的攻击对象，这就要求信息系统构建中必须具有较好的威胁对抗能力，不仅能有效将黑客攻击抵挡在信息系统之外，还应该具有攻击追踪和反馈能力，对威胁来源进行分析，为寻找威胁提供有用信息。通过以上的分析可以看出，在对信息系统安全风险评价的时候，主要是从物理环境安全性、网络运行安全性、信息保密状况、安全管理能力、威胁对抗能力五个方面来进行评价最为合适。
2评价标度的选择与评价方法研究
2.1评价标度的选择问题研究
信息系统风险评价过程中，通过对信息系统风险评价指标的分析可以看出，这些指标都是很难定量计算的，同时在对信息风险评价过程中存在一定的不确定性和模糊性，故在对信息系统风险评价标度的选择过程中，应该选择不确定性评价标度。基于不确定性评价指标，在评价的时候，基于人的意识的模糊性和直观性，专家更习惯于给出诸如“好”、“很好”之类的语言评价标度【9】，综合考虑以上因素，在对信息系统安全风险评价过程中，选择评价标度为语言评价标度，并将语言标度和模糊数对应，形成模糊语言评价标度。在对信息系统安全风险评价的时候，因为自身专业知识的有限性或是进行实际调查中存在的不确定性因素，参与评价的专家往往不可能对所评价组织或企业的信息系统安全风险管理情况完全了解，这样，专家所给出的评价信息就存在一定的不可靠性，为了能使得最终的评价结果更为科学、可信，最好的解决方法就是专家在给出评价值的同时也将其对该方面了解知识的程度也标注出来，这样的结果更为科学，决策者在获得评价结果的同时还能明白专家是在掌握多少知识的情况下给出的评价。考虑到灰色系统中的灰度主要用来反映信息未知量的多少【10】，对于灰度为0则认为专家给出的评价信息是在完全掌握信息量的情况下给出的，如果灰度为1，则认为专家给出的评价值是在专家没有掌握任何信息量的情况下给出的，因此，在对信息系统安全风险评价过程中，应该将反应专家掌握信息量多少的灰度引入评价标度中。综合以上分析，在对信息系统安全风险评价标度的选择上，应该选择由模糊数和灰度构成的有序对(S,G)作为评价标度，其中S表示语言评价标度，其对应一个确定的模糊数，G代表掌握信息量多少的灰度，其中G∈[0,1]。
2.2基于模糊灰度的信息系统安全风险评价方法研究
在对信息系统安全风险评价过程中，为了避免单一决策者的评价带有个人偏见，一般采用的是聘请不同方面的专家构成评审团队来对信息系统安全风险进行评价，设最终聘请K个专家对信息系统安全风险进行评价，评价标度选择以前文讨论所得的模糊灰度评价标度，其中语言标度与模糊数的对应关系如表1。在给出评价矩阵后，考虑到每个专家的重要性不同，且每个指标的重要性不同，所以还需要确定出专家的权重和评价指标的权重，在确定指标权重和专家权重时，考虑到模糊数不便于计算和比较，故利用下式将模糊数(al,am,ar)转换成便于比较的实数。
3实证研究
顾客知识信息不仅能为企业的产品创新和研发给出指导方向，还是企业产品营销中分析顾客群的有效知识。很多企业从顾客知识的管理和挖掘中获得较大利益，因此，基于顾客知识信息的信息系统对企业的可持续发展具有重要作用。其信息系统的安全风险问题是企业必须注重的，定期的信息系统安全风险评价是大型企业进行信息系统管理中必不可少的一步。某大型企业为了掌握其客户管理信息系统安全风险的现状，聘请6位专家对该企业信息系统的安全风险进行评价，采用模糊灰度评价标度，得到语言评价矩阵如表3所示。通过最大隶属度原则，可以看出，在对该企业信息系统安全风险管理的评价中，说明该企业在对企业安全风险管理上做的“较好”，且该综合评价信息是在群体平均信息掌握量为0.2568的情况下给出的。综合这些信息得到该企业信息系统安全风险的综合评价结论。（1）通过群组专家在对企业信息系统进行调查分析，在较充分掌握信息系统运行情况和管理信息的情况下，对企业的信息系统安全风险做出的最终评价结果为：该企业信息系统安全风险管理方面做的“较好”。（2）通过对该企业信息系统安全风险评价结果可以看出，该企业信息安全风险的管理方面还存在一定的提升空间，但是考虑到评审团队对该评价结果不是在完全掌握企业信息系统安全风险管理的情况下做出的，所以可能存在一定的偏差，但是该偏差是较小的，作为最终的决策者，对企业信息系统安全风险更为了解，可以通过对群组专家评价结果的借鉴来对企业信息系统安全风险管理和预防方面做出科学的决策。
4信息系统安全风险防范对策
信息系统安全风险的主要影响因素为物理环境安全性、网络运行安全性、信息保密状况、安全管理能力、威胁对抗能力五个方面。为了保证信息系统的有效运行，防止信息系统被破坏，应该做好如下几个方面：（1）建立健全信息系统安全风险防护框架。主要是针对企业信息系统构建的实际情况，及信息系统的需求和使用情况，根据不同使用权限和安全强度进行分层、分区授权和管理，对信息系统的实时控制区等关键区进行重点防护和监测。（2）加强信息安全专业技术的应用。主要是在对信息系统安全管理过程中，加强利用专业信息安全技术进行安全保密，如引入最新的身份认证系统进行操作和使用者的访问权限监测，对于接入网络的系统要设置防火墙，防止计算机病毒或其他威胁的入侵，并对信息系统进行网络检测和系统日志审计，监测是否有非法活动，及时发现问题并解决问题，保证信息系统的正常运行。（3）完善信息系统管理制度。很多信息系统更多的是人为因素造成的，而且人为因素导致的风险还具有隐蔽性，所以要加强对信息系统管理制度的建立和完善，建立严格的信息系统管理和使用制度，明确各管理人员的职责分工，要对管理人员和使用人员进行定期的保密培训和专业技术培训，避免错误操作，对信息系统进行有效的保护。
5结语
[关键词] 基础地理；信息系统；安全；风险评估
doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2015 . 21. 082
[中图分类号] TP315 [文献标识码] A [文章编号] 1673 - 0194（2015）21- 0155- 03
1 引 言
风险是以一定的发生概率的潜在危机形式存在的可能性，而不是已经存在的客观结果或既定事实。风险管理是通过对风险的识别、衡量和控制，以最小的成本将风险导致的各种损失结果减少到最小的管理方法。随着信息化向纵深发展，基础地理信息系统被广泛应用，但信息安全方面的威胁也大大增加，具体到市县级基础地理信息系统中存在各类风险，这些风险有着自身的特点，对系统的影响也随着不同阶段而不同。其中信息安全风险是指系统本身的脆弱性在来自环境的威胁下而产生的风险，这些风险会对信息系统核心资产的安全性、完整性和可用性造成破坏。对测绘行业信息安全风险的评估是进行有效风险管理的基础，是对风险计划和风险控制过程的有力支撑，而如何识别和度量风险成为一个难题，目前测绘地理信息行业没有一个行业性安全评估类或者安全管理类规范标准，通用安全评估规范在很多方面对于测绘地理信息系统复杂性和行业特点缺乏适用性，往往较难落地，为此提出市县级国土资源基础地理信息系统安全风险评估规范研究。
2 国内外信息安全风险评估的研究现状
信息安全风险评估经历了很长一段的发展时期。风险评估的重点也由最初简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到技术与管理相结合的科学方法。由于信息安全问题的突出重要性，以及发生安全问题的后果严重性，目前评估工作已经得到重视和开展。国内外很多学者都在积极投身于信息安全的研究，期望找到保护信息安全的盔甲。美国在信息安全风险管理领域的研究与应用独占鳌头，政府控管体制健全，己经形成了较为完整的风险分析、评估、监督、检查问责的工作机制。DOD作为风险评估的领路者，1970年就已对当时的大型机、远程终端作了第一次比较大规模的风险评估； 1999年，美国总审计局在总结实践的基础上，出版了相关文档，指导美国组织进行风险评估；2001年美国国家标准和技术协会（NIST）推出SP800系列的特别报告中也涉及到风险评估的内容；欧洲各国对信息安全风险一直采取“趋利避害”的安全策略，于2001-2003年完成了安全关键系统的风险分析平台项目CORAS，被誉为欧洲经典。我国信息安全评估起步较晚，2003年7月，国信办信息安全风险评估课题组启动了信息安全风险评估相关标准的编制工作；8月，信息安全评估课题组对我国信息安全工作的现状进行了调研，完成了相关的评估报告，总结了风险评估是信息安全的基础性工作；2004年3月国家《信息安全风险评估指南》与《信息安全风险管理指南》的征求意见稿；2005年2月至9月，开始了国家基础信息网络和重要信息系统的信息安全风险评估试点工作；2007年7月我国颁布了《信息安全技术信息安全风险评估规范》（GB/T 20984一2007）并于2007年11月1日实施；2008年4月22日，在国家信息中心召开了《信息系统风险评估实施指南》预制标准第二次研讨会，此次会议主要就标准工作组制定的《实施指南》目录框架进行了详细研究与讨论，《信息系统风险评估实施指南》作为GB/T 20984-2007《信息安全风险评估规范》和《信息安全风险管理规范》之后又一技术性研究课题，将充实信息安全风险评估和风险管理具体实施工作。
3 市县级基础地理信息系统安全风险评估规范研究方法和手段
3.1 市县级基础地理信息系统安全风险评估规范研究方法
市县级基础地理信息系统安全风险评估规范研究通过综合分析评估后的资产信息、威胁信息、脆弱性信息，最终生成风险信息。资产的评估主要从保密性、完整性、可用性三方面的安全属性进行影响分析，从资产的相对价值中体现了威胁的严重程度；威胁评估是对资产所受威胁发生可能性的评估；脆弱性的评估是对资产脆弱程度的评估；具体如下：
（1）资产评估。资产评估的主要工作就是对市、县、乡三级基础地理信息系统风险评估范围内的资产进行识别，确定所有的评估对象，然后根据评估的资产在业务和应用流程中的作用对资产进行分析，识别出其关键资产并进行重要程度赋值。根据资产评估报告的结果，可以清晰的分析出市、县、乡三级基础地理信息系统中各主要业务的重要性，以及各业务中各种类别的物理资产、软件资产和数据资产的重要程度，从而得出信息系统的安全等级。同时，可以明确各业务系统的关键资产，确定安全评估和保护的重点对象。
在此基础上，建立针对市、县、乡三级基础地理信息系统中的资产配置库，对资产的名称、类型、属性以及相互关系、安全级别、责任主体等信息进行描述。
（2）威胁评估。威胁是指可能对资产或组织造成损害事故的潜在原因。威胁识别的任务主要是识别可能的威胁主体（威胁源）、威胁途径和威胁方式，威胁主体是指可能会对信息资产造成威胁的主体对象，威胁方式是指威胁主体利用脆弱性的威胁形式，威胁主体会采用威胁方法利用资产存在的脆弱性对资产进行破坏。
在此基础上，充分调研，分析现有记录、安全事件、日志及各类告警信息，整理本行业信息系统在物理、网络、主机、应用和数据及管理方面面临的安全威胁，形成风险点列表。
（3）脆弱性评估。脆弱性是指资产或资产组中能被威胁所利用的弱点，它包括物理环境、组织机构、业务流程、人员、管理、硬件、软件及通讯设施等各个方面，这些都可能被各种安全威胁利用来侵害一个组织机构内的有关资产及这些资产所支持的业务系统。
通过研究，将建立本行业的涉及主要终端、服务器、网络设备、安全设备、数据库及应用等主要系统的基线库，从而为脆弱性检测在“安全配置”方面提供指标支撑。
（4）综合风险评估及计算方法。风险是指特定的威胁利用资产的一种或一组脆弱性，导致资产的丢失或损害的潜在可能性，即特定威胁事件发生的可能性与后果的结合。在风险评估模型中，主要包含信息资产、脆弱性、威胁和风险四个要素。每个要素有各自的属性，信息资产的属性是资产价值，脆弱性的属性是脆弱性被威胁利用后对资产带来的影响的严重程度，威胁的属性是威胁发生的可能性，风险的属性是风险发生的后果。
综合风险计算方法：根据风险计算公式R= f（A，V，T）=f（Ia，L（Va，T）），即：风险值=资产价值×威胁可能性×弱点严重性，下表是综合风险分析的举例：
注：R表示风险；A表示资产；V表示脆弱性；T表示威胁；Ia表示资产发生安全事件后对组织业务的影响（也称为资产的重要程度）；Va表示某一资产本身的脆弱性，L表示威胁利用资产的脆弱性造成安全事件发生的可能性。
风险的级别划分为5级（见表1），等级越高，风险越高。
各信息系统风险值计算及总体风险计算则按照风险的不同级别和各级别风险的个数进行加权计算，具体的加权计算方法如下。
风险级别权重分配：
极高风险 30%
高风险 25%
中风险 20%
低风险 15%
很低风险 10%
各级别风险个数对应关系（即各级别风险相对于很低风险的个数换算）：
极高风险 16
高风险 8
中风险 4
低风险 2
很低风险 1
风险计算公式R’=K（av，p，n）=av×p×n，其中，av代表各级别风险求平均后总和，p代表相应的风险级别权重，n代表相应的风险个数权重。
总体风险值=R’（极高）+ R’（高） + R’（中） + R’（低） + R’（很低）
3.2 市县级基础地理信息系统安全风险评估规范研究的手段
（1）专家分析。对于已有的安全管理制度和策略，由经验丰富的安全专家进行管理方面的风险分析，结合江苏省基础地理信息系统安全建设现状，指出当前安全规划和安全管理制度存在的不足，并给出安全建议。
（2）工具检测。采用成熟的扫描或检测工具，对于网络中的服务器、数据库系统、网络设备等进行扫描评估；为了充分了解各业务系统当前的网络安全现状及其安全威胁，因此需要利用基于各种评估侧面的评估工具对评估对象进行扫描评估，对象包括各类主机系统、网络设备等，扫描评估的结果将作为整个评估内容的一个重要参考依据。
（3）基线评估。采用基线风险评估，根据本行业的实际情况，对信息系统进行安全基线检查，拿现有的安全措施与安全基线规定的措施进行比较，找出其中的差距，得出基本的安全需求，通过选择并实施标准的安全措施来消减和控制风险。所谓的安全基线，是在诸多标准规范中规定的一组安全控制措施或者惯例，这些措施和惯例适用于特定环境下的所有系统，可以满足基本的安全需求，能使系统达到一定的安全防护水平。
（4）人工评估。工具扫描因为其固定的模板，适用的范围，特定的运行环境，以及它的缺乏智能性等诸多因素，因而有着很大的局限性；而人工评估与工具扫描相结合，可以完成许多工具所无法完成的事情，从而得出全面的、客观的评估结果。人工检测评估主要是依靠具有丰富经验的安全专家在各服务项目中通过针对不同的评估对象采用顾问访谈，业务流程了解等方式，对评估对象进行全面的评估。
（5）渗透测试。在整个风险评估的过程中，结合外部渗透测试的方式发现系统中可能面临的安全威胁和已经存在的系统脆弱性。
【关键词】系统安全工程；信息系统；风险
引言
随着科学技术的快速发展，信息系统安全问题也越来越常见，如何采取有效措施预防并减少信息系统风险已经逐渐成为信息安全研究的关键。对于信息系统安全，可以采用风险大小进行度量，同对信息在保密性、完整性等多个方面所受到的威胁，可以对安全威胁进行有效控制。需要注意的是，为了保障信息安全，不仅需要依靠安全技术和产品，而且还需要信息系统安全工程的支持。通过构建系统安全工程能力成熟模型，对影响信息系统的各个安全要素进行分析，并对风险因素发生的可能性进行评价分析，能够保证信息安全管理决策的客观性和合理性。
1我国矿山生产安全现状
近年来，随着国家的重视与社会的关注，矿山的百万吨死亡率以及前人死亡率有所下降，但是矿山的安全工程还是存在一定的问题，就目前看来，其主要存在以下问题：①我国大多数的矿山都缺乏统一持续的安全战略规划目标，我国大型的矿山企业都是国有企业，其在生产的过程中都十分重视矿产的安全管理，十分重视企业生产安全。但是其在生产的过程中同样需要面临着市场竞争带来的压力，对于矿山生产的风险性以及随机性没有充分的把握，难以从根本上提升矿山的安全性；②我国矿产开采缺乏完善的安全理念，尽管大多数的矿产企业在开采时都确立了安全生产理念，但是这些理念仅仅概况成了几句口号，并没有得到彻底的落实，这样一来无法有效的确保矿山安全管理的质量；③我国矿山开采安全程度较低，尤其是一些小型矿产，基本没有安全设施，采用的甚至是一些落后的工艺设备。为了有效的判断矿山生产过程中的风险，需要建立完善的风险评估模型，下面简单的介绍系统安全工程能力成熟模型，以及其在风险评估中的作用。
2系统安全工程能力成熟模型概述
系统安全工程能力指的是系统在实际应用中，能够达到的安全性指标的能力，通过改善系统工程的过程安全能力，能够使系统工程变得更加成熟。在系统安全工程能力成熟模型的构建过程，需要完善的、成熟的、可度量的安全工程。在系统安全工程下，所有工程活动都有明确的定义，并且对于所有工程活动，都可以进行有效的测量、管理和控制。系统安全工程能力成熟度模型主要是由两个部分所组成的，包括“过程域”和“能力”。其中，过程域指的是在完成一个子任务过程中，所需要完成的一系列工程实践，过程域指又可以被分为三个部分，即工程过程域、组织过程域和项目过程域。其中，组织过程域和项目过程域与系统安全没有直接关联，因此，二者不是模型的组成部分。模型为每个过程域均定义了一组确定的基本实践（BP），在子任务的完成过程中，每个基本实践都必不可少。另外，能力维指的是实践代表过程管理和制度化能力，其又可以被称为通用实践（GP）。通用实践的主要作用是对每个级别的共同特性（CF）进行描述，即每个级别的判定反映为一组共同特性。通用实践是应用于所有过程的活动，通用实践的重点是对过程进行度量和管理。应用通用实践描述共同特性的逻辑区域可以被被划分5个能力级别，
3信息系统风险的特征
信息系统的投资比较大，建设周期长，影响因素较多，因此，信息系统所面临的风险种类也比较多，并且不同风险之间的关系错综复杂。通过对大中型信息系统进行调查分析发现，信息系统风险的特征主要体现在以下几点：客观性和不确定性。在信息系统的实际应用中，信息系统风险客观存在，因此，在整个信息系统生命周期中，风险因素无处不在，但是有具有明显的不确定特征，风险事件的客观体现指的是随着客观条件的变化，所造成的不确定性。在信息系统的实际运行过程中，各类不确定因素的伴随物即为信息系统风险。多层次性和多样性。信息系统风险包包括多种层次风险，包括物理安全风险、逻辑安全风险等等，其中，物理安全风险是由周界控制、区域访问控制以及区内设施安全等所组成的，安全管理内容包括人员管理、系统管理、应急管理等，信息系统风险的种类也具有可变性和动态性特征，随着信息技术的发展，信息系统风险也逐渐呈动态性和可变性特征。在信息系统实际运行过程中，对于有些风险因素，由于采取了有效措施，因此风险得以消除，而对于有些风险因素，由于没有采取有效的消除措施，因此风险逐渐成为主要风险。可测性。系统安全风险的本质是不确定性，在各类风险因素中，任何风险的发生都是多个风险因素共同作用所造成的，也有个别风险因素的发生是偶然事件，但是，通过对大量风险发生事件进行统计和分析发现，风险时间的发生具有一定的运动规律。对于风险时间的发生概率以及其所造成，可以采用多种风险分析方式进行计算，并对可能发生的风险进行预测分析，从而为防范决策提供重要依据。由于信息系统风险具有多层次以及多样性特征，因此，安全防范难度较大，对此，一般采用防火墙技术进行安全管理。另外，由于信息系统风险具有多层次以及动态性特征，因此，很难构建覆盖全部安全问题的安全防控体系，综合考虑安全投入成本以及被保护资产价值，必须构建合适的安全准则。通过上述分析可见，信息系统风险复杂程度比较高，并且系统风险的涉及面比较广泛，因此，在信息系统整个生命周期中，都必须加强风险评估和管理，对此，应该在模型的指导下来保证信SSE-CMM息系统的安全。
4信息风险评估模型
信息风险评估的过程指的是，对信息系统资产所面对的各类风险因素进行分析，并对安全控制措施进行研究，从而准确识别系统风险因素，并对各类风险因素进行评价。从系统风险管理角度出发，系统风险管理过程值得是对信息系统安全风险进行控制、降低以及消除的过程，在此过程中，需要对网络与信息系统中所面临的风险因素进行准确识别，并采取有效的控制措施。在对安全事件进行评估过程中，如果发现风险因素可能会产生的危害事件，则应该立即提出相应的低于威胁防护措施，对安全风险进行化解，或者采取有效的防范措施，将信息安全风险控制在一定范围内，从而有效保障网络安全以及信息安全。在进行信息风险评估过程中，需要注意以下几点：①准确识别被评估信息资产，并对其估价；②对网络弱点进行检测，评估资产脆弱性；③获取系统各对象信息，并详细列出资产威胁；④识别当前安全控制；⑤综合考虑脆弱性和威胁的严重程度，对资产的重要性进行计算分析。风险事件因素对于信息系统的影响程度具有模糊性特征，因此，对于安全风险，可以将其描述为关于威胁和这种威胁后果的一个函数，通过对其进行定量分析，能够估算出风险时间发生后对于系统安全性的影响程度，同时还能够将将复杂的思维决策过程模型化、数量化。系统所有者在系统的实际应用过程中，可以结合项目实际情况，在资产风险评估过程中，对资产、威胁和脆弱性等各因素所占权重进行计算，并赋予其相应的权向量：A=（r1，r2，r3，…，ri），其中，其中ri指的是判断矩阵相应因素。aij=rij/nk=1Σrkj（i=1，2，…，n）（1）由公式（1）再按行求和：c軃i=nj=1Σrkj（i=1，2，…，n）（2）通过公式（2）可得：ci=c軃ini=1Σc軃i（i=1，2，…，n）（3）其中，c指的是所求的特征向量，具体而言其指的是对应i个因素的相对重要程度，即权重系数，如果c越高，则说明风险越大，系统安全工程的安全程度比较低。因此，可以根据以上公式，计算出风险评估量化分析结果，并对系统中的各类风险因素进行建模分析，从而计算得出各类风险权重，并以此为依据，对信息风险评估以及系统安全策略的制定提供重要的参考依据。
5结语
综上所述，在信息系统的建设过程中，加强安全工程管理至关重要，现如今已经逐渐引起社会各界的广泛关注，而我国信息系统风险评估研究起步比较晚，定量评估模型依然处于探索阶段。为了有效保障保障信息系统的安全性，应该采用SSE-CMM模型作为安全指导思想，通过对风险因素进行全过程、全方位的分析，能够有效解决信息系统安全的动态性和广泛性问题。本文主要对SSE-CMM模型进行了详细分析，SSE-CMM模型属于理论指导模型，可以用在信息系统的效益分析、系统可靠性分析等方面，所以具有较大的推广价值，但是需要注意的是，在其实际应用中，还应该综合考虑不同性质的信息系统，采取不同的实施方案。
参考文献
[1]吴峰，贲可荣.系统安全测试能力成熟度模型框架研究[J].计算机与数字工程，2011，39（2）：128~132.
[2]李灿，周春雷，华斌，等.信息系统应用成熟度评价模型[J].华东电力，2014，42（11）：2428~2431.
【关键词】电力企业；信息安全；风险防御
和谐社会的发展是政治、经济、文化、社会和生态多方面合力的结果，科技的进步使得电力企业意识到亟需尽快的对电力系统进行革新，从计划经济到市场经济体制的改革中，电力企业为了适应这样的变化，加强了对管理体制的合理改变和生产效率的大步提高，拉开了电力系统改革的序幕。安全的信息网络系统的构建是电力企业发展改革过程中至关重要的一个环节，有效的将电力企业的信息安全系统与其管理和考核进行有机结合，更好的服务于电力企业的生产、经营和管理，电力企业安全信息系统风险评估与防御也就成为了电力企业在经济全球化进程中亟待重视的问题所在。
1 电力企业安全信息系统风险评估
1.1 企业规模发展迅速，信息网络安全意识淡薄
电力资源是我们社会生活中必不可少的一部分，电力企业在相对垄断的情况下，发展极其迅速，但在这样的过程中，我们可以看到，大多数电力企业仅仅对基础设施和简单的网络构建有着重视力度，却没有对安全信息系统的风险认识足够，这种情况下必然产生了诸如网络安全防御意识差，对网络信息安全防范的资金投入不足等不良情况的出现。企业规模越来越大，对企业安全信息系统的维护资金投入却并不高，网络安全技术没能及时加强，电力企业也就不能很好的抵御网络风险，对网络入侵也显得无所适从。
1.2 信息化安全资金投入少，管理机制有待完善
电力企业对安全信息网络的建设的重视并不充分，有些电力企业在管理过程中对信息管理部门完全忽视，只是将企业的网络信息安全的管理安排给几个技术员或挂靠到生产技术部门，电力企业作为高盈利企业却对信息安全资金投入并不充分，信息化管理制度也很不健全。电力企业安全信息机制的构建是个长期的系统工程，我们必须注意到构建专门的信息化部门的重要性，才能在激烈的市场竞争中使得电力企业更好的满足其发展体制对信息化管理的需求。
2 电力企业安全信息系统的主要问题
2.1 信息安全化管理未分区
国家电力管理委员会出台的5号规定，对电网企业、发电企业、供电企业等电力相关企业做出了有关其信息安全网络业务系统构建的明确规定，将这些企业的计算机和网络技术系统大致分为了管理信息的部分以及生产控制的区域。信息管理区域可以依托各个企业不同的经营管理模式对安全区进行划分，而生产控制区域一般来说应该由可控制区和非可控区两大部分构成。在这样两个大的区域之间，电力企业必须在国家电力监测认定部门的监督下安装电力生产专用的单向横向安全的隔离装置。如若不能很好的遵从这样一个标准对电力企业网络系统进行管理，就经常会出现企业管理信息大区部分网络直接可以对生产控制区域的数据进行访问，出现网络安全事件，影响电力企业的安全生产和发展。
2.2 网络端口接点存在风险
互联网技术的革新的步伐越来越快，企业的网络系统安全建设却并不牢靠，在部分环节仍然十分脆弱，在电力企业的信息安全网络建设中， Web程序漏洞、系统漏洞不断出现，对病毒的侵入无力抵抗，为黑客、病毒制造者提供了入侵的机会，这些信息安全威胁的发生可能会引起电力企业网络安全系统的瘫痪和网络故障，为企业造成了这些安全威胁使得企业利益造成了巨大的损失。在最近的一项调查数据中显示，电力企业中遭受到的网络安全信息系统威胁中约有70%是由于网络系统内部的危险侵袭。这种危害的可能发现于诸多方面：对于敏感数据的滥用，对于内部员工的信息监管不力使得信息泄露都提升了企业的运行风险。
2.3 互联网病毒的侵害
从口语传播时代到印刷传播时代，直至现在的网络传播时代，互联网的高速发展使得网络病毒也迅速得以传播和扩散。诸多的电力企业网络内外相连，覆盖范围相当广泛，网络病毒经常可以有机可乘，牵一发而动全身，从一台电脑的病毒侵害到整个电力网络系统，造成网络通信的阻塞，使得整个系统中的文件和关键数据得不到完整的保存，造成不可预计的后果。
2.4 信息安全人员防范意识较低
电力企业信息防范人员对信息安全应用系统的管理是保障信息网络安全系统的重要一部分。数据库操作系统的规划和防范都离不开信息安全人员的有力防范，但在如今的电力企业信息安全系统的管理过程中，相关人员防范意识低下的情况屡屡发生，由此引发的网络安全漏洞泄露了电力企业机密信息，造成了很大的安全隐患，使企业遭受安全冲击。用户的网络安全防范意识低下是现如今网络安全的通病，大多数的用户都认为网络自身有着一定的自我安全防范意识，对电脑提示的病毒预警视而不见，电力企业中也没有很好的避免这一点，部分工作人员重技术轻管理，网络安全信息管理机制的不完善，也给企业的网络带来了十分大的管理风险，这就迫切的要求应该对网络的安全机制进行完善，也应该主动自高工作人员自身的安全防范意识。
3 电力企业安全信息系统风险防御
3.1 防火墙技术的运用
防火墙技术是现今社会经常用于互联网风险防御的重要手段之一，多用于将可信任网络和非信任网络之间相隔开来。电力企业的生产经营和管理的过程中的运行调度中都应该加强在安全检查中对网络节点的关注，限制对含带危险信息的领域的访问。电力企业在生产经营、分散控制和运行调度的过程中对防火墙技术的运用有效的将信息的采集、整合和应用都限制在可掌控的范围内，在不同的权限内最大限度的合理的运用着相关资源。
3.2 网络病毒侵袭的防护
电力企业关系着国家重要电力资源的开发和应用，为了保护电力资源的安全，必须要从内到外的构建起全方位的网络病毒防侵害系统，更好的对来自于各个方面的病毒信息进行防护。只有提高了企业的整体安全性，在互联网和周边的局域网内都安装好防病毒侵袭的安全网关和内置的病毒防护软件，才能使得电力企业免受网络病毒的侵袭，各个方面的数据得以安全与稳定的保存。
在电力企业的网络准入控制系统中，对接入点客户的安全策略检测和身份认证都是必不可少的，若不能通过检测的用户应该被严令禁止在网络之外进行隔离。无论是无线用户还是有限用户，都将面对互联网访问客户端从验证、授权到阻止未授权的计算机网络资源的过程，只有在一系列的检测中得到审核通过才可以拿到进入内部网络的通行证，网络病毒越来越厉害，愈发侵入性越强，对此，电力企业对客户端主机应该进行更加严密的考察，不间断的对病毒特征信息库进行更新，维护好网络的完整和安全性。
3.3 虚拟网的数据备份技术
互联网技术的网络拓扑结构设置，加之很好的利用交换机、路由器等功能设置，可以使网络管理员将任何一个相关局域网内的一些网段结合起来，组成一个局域网。在这个局域网里的信息传递速度更加迅速，传播速度的加快使得网络信息安全生产过程中的管理效率得到提高，使得电力企业的数据被窃听的可能性不断的降低。与此同时，现在电力企业在大多数情况下都会对重要的资料进行数据库的备份工作，这样构建起对电力企业信息网络安全系统的应急预案，可以在出现网络侵袭时及时的对关键业务和应用程序进行保护，确保核心数据系统在出现损害时，企业核心安全得到保护。
3.4 终端设备的网络准入控制技术
可采用基于网关认证的硬件控制技术，实现对通过无线网络、有线网络、VPN网络、wifi网络等方式连接的设备进行接入控制。同时，采用“报备重定向+注册重定向”的双重认证保护技术，对非法接入的终端设备进行强制重定向安全检查。对不符合安全等级要求的终端设备，可根据系统策略限制用户接入网络或将其访问限制在隔离区。
网络准入控制技术应以细致、准确、迅速为原则，对网络资源访问进行控制，尤其是一些核心的网络应用，包括C/S、B/S以及服务器应用；以精益化的客户端联动管理为核心，基于多种授权方式，包括单用户授权、用户组授权、白名单授权等方式，实现对未受控客户端实施不同用户级别的可靠便捷的接入控制。
4 结论
电力企业的安全信息系统是电力企业信息化管理的重要内容之一，有效的对电力企业安全信息系统将要面临的风险进行评估并且提出切实可行的防御措施，是保障电力企业现代化管理的有力手段。随着近些年来互联网技术的增强，电力企业的安全系统构建也愈发的完善，为电力企业的良性循环运行提供了必要的技术支持和保障，因此，我们应该重视对互联网信息的保护，防御病毒的侵害，为为电力企业的安全信息系统的正常运行营造起安全的网络环境。
参考文献：
[1]陈伟.电力系统网络安全体系研究[J].电力系统通信，2008（01）.
[2]牟奕欣.关于电力系统的网络安全的探讨[J].中国经贸，2010（14）.
关键词：电力安全；施工；安全管理；应用；
中图分类号：V351.31 文献标识码：A 文章编号：1674-3520（2014）-04-00233-01
前言：随着电力企业的不断发展，安全生产已经成为电力企业长足发展、基业长青的重要保障。我国的电力安全管理从最初的事后管理和缺陷管理逐步走向安全风险管理，发生了质的飞跃。安全生产管理将电力生产过程中的安全隐患及时的消除，起到了防患于未然的作用。文章中笔者从电力安全风险管理措施进行了简要的介绍，对电力安全生产工作的顺利展开具有重要的意义，确保电力安全生产的可靠性和经济性以及社会性。
一、电力安全风险等级简介
电力安全等级管理的事后管理、缺陷管理以及风险管理的理论基础是事故理论、危险理论以及风险理论。在长期的工作和事故研究过程中发现电力安全事故发生的瞬间包括了人和物的不安全状态。研究结果表明为了防止电力安全事故的发生应该从人和物两个方面入手，可以从安全风险评估来进行电力风险等级的评价。
二、电力工程施工安全组织措施
（一）电力工程施工现场安全电力的组织措施。1、为了保证电力工程施工现场的安全管理，施工单位应做好组织措施。首先，应该建立一个组织结构，并且配备专职的安全工程师进行施工现场的安全管理，并且应明确职责范围，有效保证安全管理质量。第二，建设单位应该建立一个专职的安全机构，来检查和督促施工单位进行安全生产；第三，监理单位应该督促施工单位建立健全安全责任制度和群防群治制度，并且应该按时检查专职安全人员的工作情况；第四，相关单位有权建议调离不称职的安全观管理人员，并帮助施工单位聘任合格的安全管理人员，进一步保证施工现场的安全。2、在进行施工现场的安全管理时首先应该设定合理的安全控制目标。然后从目标的确定到目标的开展以及目标的完成三个方面来进行。为了进一步加大施工现场的安全管理力度，应定期组织相关人员开展现场文明、安全例会，并且要做好会议记录，并以书面形式上交给项目参与方，来加强现场管理的水平，提高施工现场的安全管理质量。可以通过明确安全管理职责，加强安全管理手段以及制定施工安全应急预案等来进行安全管理。通过落实安全生产责任制，制定合理的奖惩制度，定期不定期的组织安全检查，并对安全管理人员进行绩效考核。除此之外，还应加大对施工现场安全管理的力度，严惩违章作业行为。再次，安全管理的原则应该是预防为主，因此应做好安全应急预案，来尽量减小发生安全事故时的损失。3、要保证施工现场安全监理工作的有效性，就应建立健全安全管理制度。通过安全管理制度来推动施工安全管理的顺利开展，为项目的安全提供保障。为了确保电力工程施工现场的安全得到有效控制，要加强对工程安全管理的重视程度，并落实责任制度。这就要求全面落实责任制度，对施工工程中出现的质量问题层层的落实下去。只有建立严格的责任制度并将其落实，才能有效的控制电力工程施工现场的安全。
（二）施工现场安全管理的技术措施。技术措施是进行施工现场安全管理的一个重要手段。为了保证施工现场安全，监理单位应该全力配合承包单位根据具体的施工技术、施工工艺制定合理的安全技术措施，并严格审查施工方案以及施工组织设计的安全性和可行性。除此之外，为了更好的保证施工现场的安全，监理单位应协助承包单位严格按照安全技术规程和标准进行施工。
（三）安全风险等级评估管理系统设计的内容。第一，系统设计的内容之一就是生产环境的设计。在进行系统设计时需要对可能造成安全风险的环境进行评估，比如说不合理的电力设施的结构设计、不正确的电力控制机构的状态等都可能造成电力生产人员的安全事故，并对电力生产环境的现场以及操作过程中的安全防范措施进行有效的评估。第二，需要对机具以及防护部分进行设计。这就要求安全风险等级评估管理系统对生产使用的机具以及防护措施的性能、保管、管理、配备以及使用等可能造成生产人员安全事故的方面进行有效的评估。第三，对电力施工生产现场进行管理，要求从生产人员的操作以及施工现场的安全管理措施、规章制度以及安全事故的应急措施等方面进行有效的评估。可以从以下四个方面进行：（1）为了保证电力工程施工安全降低风险，应做好组织措施。首先，应该建立一个组织结构；第二，应该建立一个专职的安全机构，来降低电力工程施工安全风险；第三，施工单位建立健全安全责任制度和群防群治制度，并且应该按时检查专职安全人员的工作情况。（2）电力施工工程安全风险管理时首先应该设定合理的安全控制目标。然后从目标的确定到目标的开展以及目标的完成三个方面来进行。为了进一步降低施工风险，应定期组织相关人员开展现场文明、安全例会，可以通过明确安全管理职责，加强安全管理手段以及制定施工安全应急预案等来进行安全管理。通过落实安全生产责任制，制定合理的奖惩制度，定期不定期的组织安全检查，并对安全管理人员进行绩效考核。（3）在进行电力工程施工现场安全管理工作，建立健全安全管理制度。通过安全管理制度来推动施工安全管理的顺利开展，为项目的安全提供保障。为了确保电力工程施工现场的安全得到有效控制，领导要加强对工程安全管理的重视程度，并落实责任制度。
三、结束语：
文章中笔者结合多年的工作经验对电力安全风险等级及电力施工安全管理进行了分析和探讨，通过安全风险等级评估系统的建立对电力安全事故进行有效的控制，并进行事前的防范和事后控制。风险等级评估管理系统的应用可以实现电力安全的全面管理，提高安全风险管理的可靠性和安全性，并达到未雨绸缪的效果。
参考文献：
【1】关宇. 电力安全管理中的问题以及风险评估管理系统[J]. 科技创新与应用，2013，27：167.
【2】武彬，张玉清，毛剑. 信息安全风险管理系统的设计与实现[J]. 计算机工程，2007，21：134-136+139.
信息产业的迅猛发展，使得信息化技术成为社会发展的必要组成部分，信息化技术为国民经济的发展注入了新鲜的活力，更加速了国名经济的发展和人民生活水平的提高。当然，人们在享受信息技术带来的巨大便利时，也面临着各种信息安全问题带来的威胁。这种信息安全事件带来的影响是恶劣的，它将造成巨大的财产损失和信息系统的损害。因此，信息系统的安全问题不得不引起社会和民众的关注，完善信息系统的安全性，加强信息安全的风险评估成为亟待解决的问题。
1 信息安全风险评估概述及必要性
1.1 信息安全风险评估概述
首先，信息安全风险，主要是指人为或自然的利用信息系统脆弱性操作威胁信息系统，以导致信息系统发生安全事件或造成一定消极影响的可能。而信息安全风险评估简单的理解，就是以减少信息安全风险为目的通过科学处理信息系统的方法对信息系统的保密性、完整性进行评估。信息安全风险评估工作是一项保证信息系统相对安全的重要工作，必须科学的对信息系统的生命周期进行评估，最大限度的保障网络和信息的安全。
1.2 信息安全风险评估的必要性
信息安全评估是为了更好的保障信息系统的安全，以确保对信息化技术的正常使用。信息安全风险评估是信息系统安全管理的必要和关键的环节，因为信息系统的安全管理必须建立在科学的风险评估基础上，科学的风险评估有利于正确判断信息系统的安全风险问题，提供风险问题的及时解决方案。
2 信息安全风险评估过程及方法
信息安全风险的评估过程极其复杂和规范。为了加强我国信息安全风险评估工作的开展，这里有必要对风险评估的过程和方法给予提示和借鉴。风险评估的过程要求完整而准确。具体有如下步骤：
1)风险评估的准备工作，即要确定信息系统资产，包含范围、价值、评估团队、评估依据和方法等方面。要明确好这些资产信息，做好识别。2)对资产的脆弱性及威胁的识别工作，这是由于信息系统存在脆弱性的特点，所以要周密分析信息系统的脆弱点，统计分析信息系统发生威胁事件的可能性以及可能造成的损失。3)安全风险分析，这是较为重要的环节。主要是采用方法与工具确定威胁利用信息系统脆弱性导致安全事件发生的可能性，便于决策的提出。4)制定安全控制措施，主要有针对性的制定出控制威胁发生的措施，并确认措施的有效性，最大限度的降低安全风险，确保信息系统的安全。5)措施实施的阶段，主要是在有效监督下实施安全措施，并及时发现问题和改正。
对于信息安全风险评估的方法，国内外进行了很多不同的方法尝试。方法一般都遵循风险评估的流程，只是在手段和计算方法上有差异，但是分别都有一定的评估效果。主要采用：定性评估、定量评估、以及定性与定量相结合的评估，最后的方法是一个互补的评估方式，能达到评估的最佳效果。
3 我国信息安全风险评估发展现状
较美国等西方国家关于信息安全系统风险评估的发展历史和技术研究，我国起步比较晚且落后于发达国家。但近年来，随着社会各界对信息系统安全的重视，我国开始在信息系统安全管理工作上加大力度，并把信息系统的安全评估工作放在重要的位置，不断创新研究，取得了高效成果。但是，就我国目前的信息安全风险评估工作看来，还存在诸多问题。
1)我国部分企业、组织和部门对于信息系统安全风险评估没有引起绝对的重视，没有大力普及风险评估工作。由于领导者及员工的信息安全防范意识不强以及自身素质水平的影响，导致对风险评估的流程及必要性都不了解，就不太重视对企业信息系统的安全风险评估工作。
2)我国缺乏信息系统安全风险评估的规范化标准。我国目前的信息系统安全风险评估工作的开展，大部分依靠参考国际标准提供服务，只注重效仿，而缺乏对我国信息系统安全风险的实际状况的研究，没有针对性，得不到应有的效果。
3)我国缺乏行之有效的理论和技术，也缺乏实践的经验。由于科技水平的相对落后，对于信息系统的安全风险评估缺乏合适的理论、方法、技术等。我国仅依靠深化研究IT技术共性风险，而没有针对性的行业信息个性风险评估，这是没有联系实际的举措，是不能真正将信息系统的安全风险评估落实到位的。
4)在对信息系统安全风险的额评估中角色的责任不明确。这应该归咎于领导的和员工的不符责任及素质水平的落后。对风险评估理论缺乏，那么就会导致参与评估工作领导和员工角色不明确，领导对评估工作的指导角色以及责任不明确，员工则对评估工作流程方法不理解，都大大降低了风险评估的工作效率。
以上种种关于信息系统安全风险评估的现状问题反映出我国在对信息系统安全风险评估的工作还缺乏很多理论和实践的指导。我国的信息系统安全风险评估工作的开展力度还远不够，那些在信息系统安全风险评估工作的成果还远远达不到评估工作的标准。
4 强化信息安全风险评估的对策
4.1 加强对信息安全风险评估的重视
信息化技术对于每一个企事业单位都是至关重要的，企业在对工作任务的执行和管理中都必须用到信息化技术，因此，保证信息系统的安全性对于企业的发展至关重要。企业、组织和部门要加强对信息安全风险评估的重视，强化风险意识，将信息安全风险评估作为一项长期的工作来开展。
4.2 完善我国信息系统安全风险评估的规范化标准
上文中指出我国目前的信息系统安全风险评估工作大部分依靠国际标准在进行，国内没有一个统一的评估标准。因此，我国应该根据企业各种标准的侧重点，自主创新研究，创造出自己的标准技术体系，而不再一味的去效仿他国。只有这样，我国的信息系统安全风险评估才能得到迅猛的提高与发展，才能保证国家信息化的安全。
4.3 加强对评估专业人才的培养
信息化技术是一项非常专业的技术，只有拥有专业知识和技能的高科技人才才能控制和把握。信息安全风险的评估工作上则更需要拥有专业技能和业务水平的人才，他们必须对信息化技术相当了解和精通，对风险评估的方法、手段、模型、流程必须熟练。因此，企事业单位要加强对专业人才的培养，定期进行业务技能培训，鼓励人才的自主学习，不断提高自身的能力，为确保企业信息安全评估工作的高效发展及信息安全贡献力量。
4.4 加强科技创新，增强评估的可操作性
我国的科技水平较西方国家有很大的差距，因此在对信息安全风险的评估工作中，也存在理论和技术上的差距。我国应该不断的加强科研力度，在理论和技术上加以完善，在评估工具上改进，以确保评估工作的高效开展。信息系统风险评估是一个过程体系，必须抓好每一环节的技术性，在依据实际状况下进行风险评估。
4.5 明确评估工作的职责划分
信息安全风险评估工作是复杂的，每一个流程都需要投入一定的人力、物力和财力。针对人力这一方面，企业单位应该明确划分评估工作人员的职责范围，管理者要发挥好领导监督作用，有效指导评估工作的开展，员工则有效发挥自身的作用和能力。进而在每一环节工作人员共同协作下，完成评估工作的各项流程，并达到预期的成效。
5 结束语
随着我国信息技术水平不断的进步和提高，信息安全工作成为一项必须引起高度重视的工作之一。在当前我国信息安全风险评估还不够全面和科学的情况下，我国应该加强科技创新，依靠科学有效的管理以及综合规范的保障手段，在借鉴西方国家先进理论和技术的同时结合我国企业单位信息安全风险评估的实际现状，有针对性的实施有效方法，确保信息系统的安全性，进而保证我国信息化的安全发展。
根据以往学者研究及实践表明，对计算机信息安全保障的工作可归纳为安全管理、安全组织以及安全技术等三方面的体系建设。而确保其保障工作的顺利展开需以信息安全的风险评估作为核心内容。因此对风险评估的作用主要体现在：首先，信息安全保障需以风险评估作为基础。对计算机信息系统进行风险评估过程多集中在对系统所面临的安全性、可靠性等方面的风险，并在此基础上做出相应的防范、控制、转移以及分散等策略。其次，信息安全风险管理中的风险评估是重要环节。从《信息安全管理系统要求》中不难发现，对ISMS的建立、实施以及维护等方面都应充分发挥风险评估的作用。最后，风险评估的核查作用。验收信息系统设计安装等是否满足安全标准时，风险评估可提供具体的数据参考。同时在维护信息系统贵过程中，通过风险评估也可将系统对环境变化的适应能力以及相关的安全措施进行核查。若出现信息系统出现故障问题时，风险评估又可对其中的风险作出分析并采取相应的技术或管理措施。
二、计算机信息系统安全风险的评估方法分析
（一）以定性与定量为主的评估方法。
计算机信息系统安全风险评估方法中应用较为广泛的主要为定性评估方式，其分析内容大多为信息系统威胁事件可能发生的概率及其可能造成的损失。通常以指定期望值进行表示如高值、中值以及低值等。但这种方式无法将风险的大小作出正确判断。另外定量分析方法对威胁事件发生的可能性与其所造成的损失评估时，首先会对特定资产价值进行分析，再以客观数据为依据对威胁频率进行计算，当完成威胁影响系数的计算后，便将三者综合分析，最终推出计算风险的等级。
（二）以知识和模型为基础的风险评估。
以知识为基础的风险评估通常会根据安全专家的评估经验为依据，优势在于风险评估的结构框架、实施计划以及保护措施可被提供，对较为相似的机构可直接利用以往的保护措施等便可实现机构安全风险的降低。另外以模型为基础的评估方式可将计算机信息系统自身的风险及其与外部环境交互过程中存在的不利因素等进行分析，以此实现对系统安全风险的定性评估。
（三）动态评估与分析方式。
计算信息系统风险管理实际又可理解为信息安全管理的具体过程，一般会将信息安全方针的制定、风险的评估与控制、控制方式的选择等内容包含在内。整个评估与分析方式具有一定的动态特征，以PDCA为典型代表，其计划、实施、检查以及改进实现了对风险的动态管理。
（四）典型风险评估与差距分析方法分析。
典型风险评估主要包括FTA、FMECA、Hazop等方法，对计算机信息系统设计中潜在的故障与薄弱之处，都可提出相应的解决措施，以FTA故障树分析为典型代表，在分析家算计信息系统的安全性与可靠性方面极为有效。差距分析方式往往以识别、判断以及具体分析的方式对系统的安全要求与当前的系统现状存在的差距进行系统风险的确定，存在的差距越大则证明存在的风险越大。
三、结论
1.1需求分析
通过德尔菲法、访谈法、SWOT分析等风险管理技术，向学院各职能部门和其它渠道收集风险信息，分类总结，然后列出风险系统开发的大功能模块，每个大功能模块有哪些小功能模块；描述实现具体模块所涉及到的主要算法、数据结构、类的层次结构及调用关系，需要说明软件系统各个层次中每个模块或子程序的设计考虑，以便进行编码测试。系统平台可以实现以下功能：自动输出风险评估报告和建议报告，有效监控预防风险；对风险进行定量分析，实现以图表直观形式输出显示，并展示相应的数据指标；用户以个人账户或部门账户，登录到风险评估输入列表，选择相应的职能部门、行业类型、风险级别指标、以问答的形式选择相应的内置风险条目，根据登陆权限，可自拟增加、删除风险条目；可实现日常工作重要环节和重点风险过程的时间提醒功能，通过手机短信或网页提示窗提示等手段，提醒重点工作的正常开展，防范工作疏忽引起的风险；风险级别指标制定，可参考相应的国家或行业标准，也可自拟；系统平台内有评估标准，根据评估标准设计评估模型，利用评估模型对风险评估报告进行评估，得出评估结果供风险决策者参考；校领导和各职能部门负责人可根据管理权限查询相应的风险数据；B/S架构，实现新闻即时，可及时更新各高校风险管理中的经验交流文章、理论知识。
1.2程序编码实现
开始具体的编写程序工作，分别实现各模块的功能，从而实现对目标系统的功能、性能、接口、界面等方面的要求；开发过程中，边开发边测试，系统完工后，通过内部外部测试、模块测试、整体联调等测试方法，验证系统的整体稳定性，不断完善。
1.3具体应用
软件开发完成，做成相关的技术文档，系统上线；在具体应用中发现问题及时登记到问题记录册，反馈到开发人员，为以后的系统平台升级提供依据。
2平台功能模块
信息安全风险评估平台的开发环境为/MSSQL，基于SOA软件系统架构解决学院各信息系统集成，通过PDCA循环模型具体实施。信息安全风险评估系统平台建设主要包括评估公告、用户管理、指标设置、综合评估、综合查询、报表系统，数据导出七大模块。
2.1评估公告模块
评估公告模块实现新闻即时，可及时更新各高校风险管理中的经验交流文章、理论知识；可实现日常工作重要环节和重点风险过程的时间提醒功能，提醒重点工作的正常开展，防范工作疏忽引起的信息系统风险。
2.2用户管理模块
用户管理模块的功能是管理用户信息，主要包括用户的用户名、密码和权限，同时支持显示所有注册用户信息和删除用户功能；模块可以添加系统管理员、评估人和评估单位，评估人员可以设置不同的权限，限制评估范围；用户以个人账户或部门账户，登录到风险评估输入列表，选择相应的职能部门、行业类型、风险级别指标、以问答的形式选择相应的内置风险条目；不同的用户登录系统显示的模块不一样，根据登陆权限，可自拟增加、删除风险条目。
3.3指标设置模块
指标设置模块主要是依据国家有关信息安全风险评估指标，实现信息系统风险评估的指标体系设置，划分两级指标细化评估体系，一级指标划分为信息资产、威胁性、脆弱性，二级指标从硬件、软件、风险识别等细化指标体系；实现指标库的设置，可以分配不同的被评估单位相应的评价指标。
2.4综合评估模块
综合评估模块包括评估列表、评估历史。评估列表显示所有被评估单位，某一单位用户登录以后，系统自动调用相应的指标库，回答相应的信息系统安全问题，系统自动给出指标分数；评估历史是不同的账户登录，显示的列表不同，管理员能查询所有的用户评估历史，单位用户只能查询本系部的评估历史。
2.5综合查询模块
综合查询模块实现不同单位评估次数、评估成绩、各评估对象不同时间段等的评估查询。
2.6报表系统模块
报表模块实现了不同单位评估次数、评估成绩、各评估对象的柱状图的形式直观展示。
2.7数据导出模块
数据导出模块实现了评估单位当前总成绩或历史评估成绩的数据导出功能，支持PDF、Word、Excel文档格式。
3系统评估操作流程
系统管理员首先在系统后台对不同的用户设置相应的评估指标库；用户通过用户名和密码登录系统后台；登录成功后系统会自动调用相应的评价指标，用户回答相应的问题；回答结束后，用户点击提交，系统自动给出相应的评估分值；用户打印或存储评估数据报告。
4平台应用效果
4.1为我国高校的信息系统风险预防和应急处理提供建设性的意见
目前关于我国高校风险评估研究的大多停留在某些具体领域，主要是对宏观风险管理和财务风险状况进行探讨，对信息系统安全的研究较少。信息安全风险评估系统平台对高校信息安全风险进行定量分析评估，为我国高校信息系统风险评估提供了一个重要平台，为高校的信息系统风险预防和应急处理提供一些建设性的意见。
4.2为高校各级信息系统管理者提供了处理信息系统
风险的决策依据系统实现各级信息系统管理者可实时查询部门风险评估，针对高校日常管理中可能面临的各类信息系统安全风险、建议应对措施、突发事件、应急预案、法律法规等相关风险管理文档查询，为科学决策提供依据。
4.3信息系统安全风险处理更迅速
信息系统安全风险评估平台与学院网络安全教育平台、运维网站数据整合，当网络遭受攻击、病毒肆虐时，能第一时间获得相关信息，为快速解决信息系统安全风险创造了条件。
4.4提高了全校师生网络安全防范和参与意识
通过信息系统安全风险评估平台，全院师生提高了网络安全防范和参与意识，为河南牧业经济学院网络信息化建设出谋划策，促进学校领导和有关职能部门制定和完善网络有关管理制度。
4.5规范了全校师生的上网行为，减少了网络攻击
全校师生通过平台了解学校网络管理相关制度和管理方式，认识到自己的上网行为在学校监督管理中，从而自觉规范自身的上网行为。平台为引导师生正确使用网络、规避风险，保障校园网网络良好正常运转起到了积极的作用。通过信息系统风险评估的漏洞查找，各系部加强了网络安全知识普及、全员参与、相关规章制度的约束，一直困扰我院网管人员的网络非法攻击，特别是破坏后果更难预测的内部网络攻击得到了有效的遏制。
5结束语
