1、當今社會，網絡和重要信息系統的基礎性、全局性作用日益增強，國民經濟和社會對基礎信息網絡和重要信息系統的依賴性越來越大，事關國家經濟和人民生活的金融、電力、電信等國家基礎設施系統，其運行都依賴于信息網絡系統。這些系統一旦發(fā)生問題，輕則導致經濟損失和社會生活不便，重則會使整個國家的政治、經濟或軍事面臨著新的挑戰(zhàn)。 目前國內信息系統的安全現狀正處于單個安全威脅向混合安全威脅變化的趨勢中，存在的主要問題是在如此復雜的信息網絡環(huán)境中首先就

2、需要了解有哪些風險，評估存在的風險，預測其發(fā)生的可能性以及對信息系統建設單位的影響程度，然后盡可能量化風險，根據優(yōu)先順序，采取適當的預防措施。 基于此背景和現狀，本文主要論述了信息安全風險評估在信息系統使用過程中的重要性和必要性，對網絡、操作系統、應用程序等的安全性、脆弱性和威脅進行測定的方法和依據。系統地分析網絡與信息系統所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性地抵御威脅的防護對策和整

3、改措施。信息安全風險評估方案設計和應用過程均依據了國家及國際先進的信息安全技術和管理標準、原則，體現了風險評估的先進性。本文形成了信息安全風險評估具體的方案設計，并以此方案為模板應用于山東高速公路集團信息系統的風險評估實施，今后也可為各類信息系統的建設單位所使用。 綜上所述，信息安全風險評估方案設計與應用能夠幫助信息系統的管理者建立信息安全管理框架，了解目前存在的安全風險和威脅，防范和化解信息安全風險，將風險控制在可接受的水平，

4、進而建立安全策略、IT安全體系，最大限度地保障網絡和信息系統的安全。此外，在國家大力推行信息系統安全等級保護的同時，本文的設計與應用將等級保護與風險評估科學的結合在一起，為企事業(yè)單位更好的理解等級保護的含義、準確地為信息系統確定等級提供依據，從而指導用戶單位運用技術和管理的手段對信息系統的風險進行有效評估，以確保信息系統合乎相應的安全等級的標準，達不到相應安全等級的信息系統可采納風險評估報告進行整改。 我認為本文有兩點還需進一步

5、改進和完善。一是對系統業(yè)務流程的梳理，在安全域劃分后，業(yè)務系統分離成多個子系統，沒有把子系統按照業(yè)務流程聯系重新組合，在進行信息安全風險評估時出現多次重復性工作；二是運用IT項目管理的方法即采用IT服務管理、控制與流程將風險評估工作流程化、規(guī)范化、標準化，更有效的控制風險評估達到預期目標。項目管理流程應該進一步細化，經過這次應用，對信息安全風險評估實施過程中的工作量、分工有了更深刻的認識，在今后的工作中部分環(huán)節(jié)可以精簡，以實現更合理的項