信息安全风险评估是一个完整的信息系统安全工程体系中的重要环节,已成为国内外信息安全领域的研究热点。目前,国内外已建立了一系列信息安全风险评估标准,学术界也有一些相关的研究成果,但尚未发展成熟,存在难以识别新颖威胁等问题。针对目前现有的风险评估工具服务的对象和采用的标准不同、国内无法直接引用等问题,论文以最近国内审批通过的标准——《信息安全技术信息安全风险评估规范》为依据,提出了一个新的信息安全风险评估模型。论文首先研究了几种国内外典型的信息安全风险评估标准和风险评估方法,对一系列经典模型的特点进行了分析和比较;对生物免疫机制进行了研究,给出了网络入侵检测、病毒检测、木马检测和身份识别四个不同形态空间下自体、非自体、抗原、抗体的表示方法;提出了基于免疫的威胁识别机制;设计了一个基于免疫机理的信息安全风险评估模型IBISRA(Immunity- based Information Security Risk Assessment);论文描述了应用IBISRA模型对某单位信息系统进行安全风险评估的流程;最后论文论述了模型中关键技术的实现,并通过网络入侵检测及病毒检测的仿真实验对模型中关键组件的检测效果和效率作了分析。IBISRA模型以《信息安全风险评估规范》为标准,引入了动态风险评估机制,能够对信息系统当前面临的安全风险进行评估。针对信息系统复杂性,IBISRA模型引入层次分析模型,综合定量分析和定性分析方法,可对目标系统进行分层评估。实验结果表明采用免疫机制,提高了风险评估系统对新型威胁的识别能力。