信息系统安全管理是一项复杂的系统工程管理,在这项系统工程中,信息系统安全风险评估具有核心的地位,它是信息系统安全的基础和前提。论文从整体上可分为三部分:第一部分,论文概述了信息安全以及信息安全风险评估相关标准(包括技术性标准和管理性标准)的基础知识;第二部分,论文利用系统工程的理论和方法建立了一个基于层次结构的信息安全评估模型;第三部分,论文着重研究了一种基于资产、威胁和弱点的信息安全风险评估量化模型。三部分紧密相连,逐层深入的对信息安全风险评估过程中如何量化风险进行了科学的研究。论文对于信息安全风险评估方法进行了以下两个方面创新性的研究:一方面,借鉴灰色理论特性和评估方法,将该理论应用到信息安全风险评价模型的建立上,综合运用层次分析法、灰色评价方法及模糊评价方法,同时考虑安全要素间的相互关系和相对重要度,为信息安全评价体系提供了一种简单、实用、高效的量化评价模型。另一方面,论文在基于资产、威胁、弱点的信息安全风险评估模型中引入金融风险度量领域常用的风险价值模型,即VaR、CVaR模型,采用Poisson分布和正态分布模拟信息安全威胁发生频率。讨论了在一定历史时期威胁发生频率较高时Poisson分布难于计算的情况下,采用正态分布模拟威胁发生频率,并利用CVaR模型对风险的尾部进行分析。模型采用实际资产损失值表示信息安全风险值,依据模型所计算的信息安全风险损失值可直接作为企业决策者关于信息安全风险投资决策的依据。