在保险企业市场化、全球化、信息化的今天,商业活动和信息技术日新月异,竞争的赢家一定是那些反应快、效率高、灵活性强的企业。ERP不仅是一种减轻工作量、提升效率的管理工具,已经上升为企业的核心竞争要素,成为企业不可或缺的经营管理平台。随着ERP应用的日益深入,ERP系统的信息安全也逐渐受到广泛的关注。在解决安全问题的过程中信息安全风险评估是第一步,也是非常重要的一步。信息安全风险评估发展多年,形成了一系列评估标准和方法,但仍存在着一些有待解决的问题。一是已有的标准和方法大部分都是通用的,并存在部分概念不够清晰,在实施具体项目时缺乏可实施性。二是目前国内对信息安全风险评估的经验积累不足,这会影响到风险评估的成本、结果和评价效果。三是标准只评价单个资产风险,没有考虑到资产间的相互影响作用及系统整体风险等。针对以上情况,本文通过对常用信息安全标准和评估方法的比较研究,以GB/T 20984-2007即《信息安全技术信息系统风险评估规范》为基础,结合对保险企业信息安全特点的调研和需求分析,提出了针对保险企业ERP的信息安全风险评估解决方案。最后本文通过具体实例验证了这套方案的可行性和实用性。其评估结果和措施建议得到相关部门的肯定。