随着社会信息化程度的不断提高，计算机网络和信息系统已经成为社会发展和人们日常生活中不可或缺的动力和工具，信息系统的安全问题也越来越受到人们的关注和重视。然而信息安全问题不仅仅是技术原因引起的，它还涉及到其他许多方面。这就需要用信息安全风险管理的方法来保护和维护信息系统，其前提就是信息安全风险评估。本文围绕信息安全风险评估，首先介绍了风险评估的概念和国内外信息安全风险评估的状况，并对其发展脉络进行了梳理，指出了我国风险评估中存在的问题，详细阐述了部分风险评估的理论成果；其次分析了风险评估要素间的关系和评估流程，介绍了几种具有代表性的风险分析方法，总结了这些方法的优缺点。在此基础上着重对模糊层次分析法进行了研究，提出把模糊层次分析法运用到信息安全风险评估中，设计了可行性较强的信息安全风险评估实施模型，实现了定性分析方法与定量分析方法的有效结合。该模型采用问卷调查和专家打分的方法获取资产信息，用模糊层次分析法对系统资产的价值、资产的脆弱性和面临的威胁进行分析评估，并采用三角模糊数作为隶属函数实现风险评估中主观因素的客观化和定量化，最后用对虚拟的医疗机构信息系统进行评估的应用实例来说明这种模型的可操作性。