随着信息时代的来临,信息系统安全成为一个迫切需要解决的难题。风险评估作为信息安全管理工作中的重要组成部分,是掌握信息系统安全状况,建立合理安全保障措施的重要手段。本文在研究对比了多种风险评估方法的基础上,提出了一种层次分析法(AHP, Analytic Hierarchy Process)与模糊综合评价法(FCE, Fuzzy Comprehensive Evaluation)相结合的评估方法。该方法通过分析资产的保密性、完整性和可用性,建立资产层次模型,进而使用层次分析法计算出资产权重,采用定性与定量相结合的计算方法,降低了主观因素对评估结果的影响。对资产的风险从事件发生的概率和影响两方面入手,对评估过程中出现的不确定性因素,使用模糊综合评价法处理,最后与资产权重相结合确定出各风险因素的风险等级。在此基础上,建立了层次分析法与模糊综合评价法结合的风险评估原型系统,并通过案例分析,验证了本文所提出的方法可以较好地解决风险评估中的量化问题,大大减少评估过程中的主观性影响,提高评估结果的准确性与有效性。