信息安全风险评估是考察信息系统安全性的一个重要环节。在国家深入推进信息安全风险评估工作,并将颁布国家标准《信息安全风险评估规范》以指导风险评估工作实施的背景下,研究国外成熟的风险评估框架结合国家标准的应用问题,特别是研究探讨中小型组织风险自评估技术及其应用,对信息安全风险评估的广泛开展具有重要意义。论文首先分析比较了国内外主要风险评估方法和工具,从不同的角度重点分析了基于模型的信息安全风险评估CORAS框架的理论技术特征,比较研究了CORAS框架和《信息安全风险评估规范》的兼容性,说明了国内中小型组织应用CORAS框架实施风险评估的可行性;针对CORAS框架应用时存在的风险计算的主观性问题,分析总结了风险要素中威胁、脆弱性和资产的结合关系,提出和定义了元风险及资产风险树等相关概念,解决了确定风险计算粒度和区分不同性质风险对资产的重要程度问题,在此基础上,优化设计了适用于中小型组织的基于元风险和资产风险树的风险评估算法;同时,设计和开发了基于CORAS的风险评估辅助系统e-CORAS,从系统包图、类图、用例图和系统时序图等方面阐述了系统建模分析与设计,给出了风险评估算法的详细设计,从数据库访问模式、结构模型图和表结构等方面对系统数据库进行了详细设计和实现;最后通过具体的评估实例说明了算法和系统应用过程及有效性。