發(fā)布時(shí)間：2023-09-08 17:06:30
序言：寫作是分享個(gè)人見解和探索未知領(lǐng)域的橋梁，我們?yōu)槟x了8篇的安全風(fēng)險(xiǎn)評(píng)估方法樣本，期待這些樣本能夠?yàn)槟峁┴S富的參考和啟發(fā)，請(qǐng)盡情閱讀。
〔關(guān)鍵詞〕 風(fēng)險(xiǎn)評(píng)估；定量評(píng)估；半定量評(píng)估；決策管理
〔中圖分類號(hào)〕C931；D035.29 〔文獻(xiàn)標(biāo)識(shí)碼〕A 〔文章編號(hào)〕1000-4769（2013）03-0117-03
本世紀(jì)以來接連發(fā)生的航空保安事故，促使各國政府不斷強(qiáng)化其航空保安管理政策。有效的風(fēng)險(xiǎn)評(píng)估可為此類決策提供必要的框架依據(jù)，并最大程度地契合航空保安目標(biāo)。
一、風(fēng)險(xiǎn)評(píng)估的方法論基礎(chǔ)
航空保安風(fēng)險(xiǎn)評(píng)估，是對(duì)航空保安措施的風(fēng)險(xiǎn)及決策進(jìn)行評(píng)價(jià)的一個(gè)系統(tǒng)過程。它使用一整套定量或定性的技術(shù)手段，評(píng)價(jià)對(duì)國家、機(jī)場(chǎng)、航空承運(yùn)人、人群及航空設(shè)施設(shè)備可能構(gòu)成的風(fēng)險(xiǎn)，并最終進(jìn)行適當(dāng)?shù)暮娇毡０矝Q策。在此過程中，往往需要考慮以下維度：當(dāng)前風(fēng)險(xiǎn)的水平；襲擊可能造成的后果；后續(xù)風(fēng)險(xiǎn)超過可容忍范圍時(shí)必須采取的行動(dòng)。
風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)管理，均是航空保安管理系統(tǒng)（SeMS）中的重要組成部分，二者密不可分共同構(gòu)成航空保安系統(tǒng)應(yīng)對(duì)民航運(yùn)行風(fēng)險(xiǎn)的基礎(chǔ)，并保證航空運(yùn)輸實(shí)施過程的可行性和高效性。航空保安有三大核心原則：識(shí)別、貫徹和維持。風(fēng)險(xiǎn)評(píng)估主要應(yīng)用識(shí)別原則，而貫徹和維持原則由風(fēng)險(xiǎn)管理過程給予體現(xiàn)。
風(fēng)險(xiǎn)管理的基本原則認(rèn)為，若某種風(fēng)險(xiǎn)無法消除，則需要增強(qiáng)對(duì)已知或可能存在威脅的防御措施來降低其風(fēng)險(xiǎn)?，F(xiàn)有的航空保安措施并不能確保民航系統(tǒng)免受所有類型的威脅襲擊，因此，需要一套行之有效的風(fēng)險(xiǎn)管理過程為應(yīng)對(duì)恐怖襲擊做好準(zhǔn)備。風(fēng)險(xiǎn)管理要求對(duì)航空運(yùn)輸活動(dòng)進(jìn)行實(shí)時(shí)監(jiān)測(cè)與評(píng)估，以降低風(fēng)險(xiǎn)并減小襲擊可能造成的后果；此外，風(fēng)險(xiǎn)管理也要求實(shí)施與保持長(zhǎng)期、高效的航空保安對(duì)策，以便逐步將風(fēng)險(xiǎn)穩(wěn)定在可接受的范圍內(nèi)，穩(wěn)步改善航空保安狀況。
有效的風(fēng)險(xiǎn)管理過程依賴于有效的風(fēng)險(xiǎn)評(píng)估。風(fēng)險(xiǎn)評(píng)估的目的是界定并控制任何可能對(duì)組織產(chǎn)生影響的風(fēng)險(xiǎn)，〔1〕它是一套描述同威脅或危險(xiǎn)相關(guān)的風(fēng)險(xiǎn)的系統(tǒng)過程。風(fēng)險(xiǎn)評(píng)估過程由三個(gè)基本要素組成：威脅評(píng)估、脆弱性評(píng)估和危害性評(píng)估。〔2〕威脅評(píng)估對(duì)基于不同因素的威脅來源進(jìn)行識(shí)別與評(píng)價(jià)，包括某一襲擊的可能性、意向性及潛在的殺傷力；脆弱性評(píng)估用來識(shí)別可能被利用的弱點(diǎn)，以及如何消除這些弱點(diǎn)；危害性評(píng)估則被用來系統(tǒng)地識(shí)別與評(píng)價(jià)受威脅組織的價(jià)值和資產(chǎn)、重要性、象征意義及受威脅群體的狀況。
在對(duì)航空保安控制的效率進(jìn)行評(píng)價(jià)之后，航空保安風(fēng)險(xiǎn)評(píng)估還要評(píng)價(jià)威脅對(duì)于它所涉及的每個(gè)民航脆弱區(qū)域潛在的破壞效果。因此，實(shí)施風(fēng)險(xiǎn)評(píng)估是為了評(píng)價(jià)民航系統(tǒng)每個(gè)關(guān)鍵要素相關(guān)的風(fēng)險(xiǎn)，以及一旦威脅得逞可能造成的損失。多數(shù)情況下，風(fēng)險(xiǎn)評(píng)估程序試圖在風(fēng)險(xiǎn)的影響后果與相應(yīng)保安措施的支出之間達(dá)成經(jīng)濟(jì)學(xué)意義上的平衡。通過計(jì)算在推行航空保安對(duì)策的過程中必須損耗的經(jīng)濟(jì)資源總量，風(fēng)險(xiǎn)評(píng)估得出年度損耗預(yù)測(cè)（ALE）的分析結(jié)果，并在此基礎(chǔ)上做出最終的決策。當(dāng)然，推行航空保安對(duì)策的損耗僅僅是年度損耗預(yù)測(cè)的一部分。
二、航空保安風(fēng)險(xiǎn)的定量評(píng)估方法
航空保安風(fēng)險(xiǎn)是一個(gè)極其復(fù)雜的問題，對(duì)其采取的控制措施必須有利于最終決策。此前，風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)管理專家往往專注于事故風(fēng)險(xiǎn)、自然災(zāi)害風(fēng)險(xiǎn)、商業(yè)風(fēng)險(xiǎn)、項(xiàng)目風(fēng)險(xiǎn)與財(cái)政風(fēng)險(xiǎn)。近年來，組織機(jī)構(gòu)越來越普遍地使用系統(tǒng)化的流程或工具來理解這些多樣的風(fēng)險(xiǎn)，并進(jìn)行優(yōu)先性排序，尤其是那些可能帶來災(zāi)難性后果的風(fēng)險(xiǎn)。美國的9·11事件使人們意識(shí)到，同航空保安相關(guān)的風(fēng)險(xiǎn)也是一種可能帶來災(zāi)難性后果的風(fēng)險(xiǎn)類型。〔3〕雖然航空保安具有特殊的應(yīng)對(duì)流程，但它的基本原理與其他風(fēng)險(xiǎn)卻是相同的；雖然襲擊和其他非法干擾行為屬于特殊的威脅類型，但是它所帶來的風(fēng)險(xiǎn)同其他威脅也是相同的。
定量的航空保安風(fēng)險(xiǎn)評(píng)估可以分解為威脅源評(píng)估、脆弱性評(píng)估和危害性評(píng)估三個(gè)步驟。威脅源評(píng)估需要評(píng)估并察覺國內(nèi)外敵意組織的存在狀況，評(píng)估全國或地區(qū)范圍的威脅水平，評(píng)估民用機(jī)場(chǎng)周圍的威脅水平等。脆弱性評(píng)估主要分析機(jī)場(chǎng)系統(tǒng)與民航基礎(chǔ)設(shè)施的重要功能與關(guān)鍵部位，評(píng)估民航關(guān)鍵基礎(chǔ)設(shè)施的保護(hù)系統(tǒng)，以及這些系統(tǒng)的易感性與脆弱性水平。危害性評(píng)估則分析對(duì)關(guān)鍵目標(biāo)的襲擊成功后可能導(dǎo)致的危害后果，評(píng)估因關(guān)鍵目標(biāo)失效造成的間接損失以及恢復(fù)重建成本。
國際民航組織將以上風(fēng)險(xiǎn)評(píng)估過程歸納為幾個(gè)易于測(cè)量的基本公式，并在全球范圍內(nèi)推行，其邏輯基礎(chǔ)是建立在對(duì)威脅民航運(yùn)輸正常運(yùn)行的外在風(fēng)險(xiǎn)進(jìn)行定量評(píng)估之上的。該方法可以用以下公式來實(shí)現(xiàn)：
風(fēng)險(xiǎn)（R）=頻率（F）×后果（C） （1）
頻率（F）=發(fā)動(dòng)襲擊頻率×預(yù)防措施失效的可能性 （2）
風(fēng)險(xiǎn)（R）=[威脅（T）×脆弱性（V）]×危害性（C） （3）
其中，威脅（T）是指針對(duì)某個(gè)特定目標(biāo)發(fā)動(dòng)特定類型襲擊的可能性進(jìn)行測(cè)算的結(jié)果；脆弱性（V）是指針對(duì)某個(gè)襲擊事故的不同預(yù)防措施失效的可能性進(jìn)行測(cè)算的結(jié)果；危害性（C）是指如果襲擊成功后的負(fù)面影響范圍。一個(gè)完整的風(fēng)險(xiǎn)評(píng)估基本過程如下圖所示：
本流程的目標(biāo)是為航空保安風(fēng)險(xiǎn)評(píng)估提供一個(gè)有效框架，以便支持民航保安預(yù)防措施的設(shè)計(jì)與優(yōu)化。因此，定義風(fēng)險(xiǎn)評(píng)估框架的過程中可能面臨的一個(gè)重要挑戰(zhàn)是，在收集、整理和報(bào)告有關(guān)風(fēng)險(xiǎn)的情報(bào)信息時(shí)，確定多高的精確度才真正有助于航空保安決策的制定。在實(shí)現(xiàn)反恐目標(biāo)的技術(shù)手段還未成熟之際，過高的甚至中等的精確度可能都沒有必要?！?〕為此，一些半定量的評(píng)估方法被開發(fā)出來，以補(bǔ)充單純定量方法的不足。
三、航空保安風(fēng)險(xiǎn)的半定量評(píng)估方法
風(fēng)險(xiǎn)評(píng)估的半定量方法，是結(jié)合了定量方法與定性方法使用的。在定性方法中，常用現(xiàn)場(chǎng)調(diào)查與專家評(píng)分法來實(shí)現(xiàn)。這種方法通過風(fēng)險(xiǎn)識(shí)別將航空保安所有風(fēng)險(xiǎn)列出，設(shè)計(jì)風(fēng)險(xiǎn)調(diào)查表，再利用航空保安專家的經(jīng)驗(yàn)，對(duì)各風(fēng)險(xiǎn)因素的重要性進(jìn)行評(píng)估，確定每個(gè)風(fēng)險(xiǎn)因素的權(quán)重與等級(jí)值，將每個(gè)風(fēng)險(xiǎn)因素的權(quán)重和等級(jí)值相乘，求出該風(fēng)險(xiǎn)因素的得分，再將各個(gè)風(fēng)險(xiǎn)因素得分求和，最后綜合成整個(gè)航空保安項(xiàng)目的風(fēng)險(xiǎn)得分?！?〕
基于矩陣的半定量方法，是根據(jù)威脅源、脆弱性與后果分類來捕捉同航空保安相關(guān)的風(fēng)險(xiǎn)信息。為各類威脅源和脆弱性賦值，并對(duì)各類危害后果進(jìn)行典型的損失測(cè)算，這將提供一套可用“損失程度”來表達(dá)的測(cè)量風(fēng)險(xiǎn)的數(shù)值系統(tǒng)。這套系統(tǒng)能夠同實(shí)施成本直接比較，從而為相關(guān)風(fēng)險(xiǎn)等級(jí)提供一組有意義的收益/成本指數(shù)。半定量評(píng)估方法往往同定量評(píng)估方法配合使用，以最大限度地彌補(bǔ)各自缺陷，達(dá)到對(duì)航空保安風(fēng)險(xiǎn)進(jìn)行準(zhǔn)確測(cè)量的目的。
在國際民航組織提供的風(fēng)險(xiǎn)評(píng)估范例中，提供了易受攻擊性矩陣的參考樣本?！?〕該范例包括“可能進(jìn)行非法干擾的團(tuán)伙矩陣”和“航空保安威脅種類矩陣”兩個(gè)樣本。這兩個(gè)矩陣可共同構(gòu)成后續(xù)風(fēng)險(xiǎn)管理過程的最后分析模型，也可根據(jù)需要單獨(dú)使用。但由于航空保安威脅種類矩陣是針對(duì)機(jī)場(chǎng)的易受攻擊性設(shè)計(jì)的，因此在矩陣分析中至少應(yīng)包括該矩陣。
關(guān)于刻畫團(tuán)伙概況的易受攻擊性矩陣，建立在以下共識(shí)基礎(chǔ)上：任何團(tuán)伙均可根據(jù)五大基本屬性來組織以人為基礎(chǔ)的“系統(tǒng)”。這五大屬性具體為：領(lǐng)導(dǎo)、系統(tǒng)要素、基礎(chǔ)結(jié)構(gòu)、群眾、戰(zhàn)斗機(jī)制。無論可能從事非法行為的團(tuán)伙名稱是恐怖團(tuán)體、反叛派別，還是犯罪組織，以上五大屬性都是評(píng)估它的重心?！邦I(lǐng)導(dǎo)”屬性包括團(tuán)伙的統(tǒng)治階層、合法政治代表的存在，領(lǐng)導(dǎo)者的人格魅力等等；“系統(tǒng)要素”指一個(gè)團(tuán)伙通過監(jiān)視、攫取武器、獲取資金、培訓(xùn)人員等手段，將理論目標(biāo)付諸實(shí)施的意志與能力；“基礎(chǔ)結(jié)構(gòu)”包括團(tuán)伙的基層/分支組織的大小與數(shù)量、建成的通信網(wǎng)以及利用運(yùn)輸和供給線的效率等多方因素；“群眾”屬性指社會(huì)支持網(wǎng)絡(luò)的狀況；“戰(zhàn)斗機(jī)制”是指為實(shí)現(xiàn)團(tuán)伙目標(biāo)而執(zhí)行團(tuán)伙行動(dòng)所賦予的屬性。根據(jù)以上五大屬性，按照風(fēng)險(xiǎn)評(píng)估希望達(dá)到的分析深度，還可增加功能性細(xì)類，可包括諸如團(tuán)伙實(shí)施暴行的能力、既有活動(dòng)地點(diǎn)和歷史、對(duì)宗旨的忠實(shí)程度、實(shí)施自殺性炸彈攻擊的可能性等。各個(gè)重心的分值一旦總和，其結(jié)果即可提供團(tuán)伙的概況，并對(duì)其進(jìn)行針對(duì)民航的非法干擾行為的可能性與能力作出可靠評(píng)估。
航空保安威脅種類矩陣以六大類威脅為基礎(chǔ)，其種類數(shù)量?jī)H限于最經(jīng)常影響民航保安任務(wù)的六類，在具體風(fēng)險(xiǎn)評(píng)估中還可擴(kuò)大為其他因素。它包括可能進(jìn)行非法行為的團(tuán)伙的存在、民航遭受攻擊的歷史、內(nèi)亂、經(jīng)濟(jì)危機(jī)情況、航班數(shù)量、高風(fēng)險(xiǎn)航班過境情況等。這些威脅種類所代表的重心不同于團(tuán)伙概況的重心，更適合于國家、航空器運(yùn)營人或機(jī)場(chǎng)對(duì)威脅的評(píng)估。將以上六類威脅種類的分值求和，就獲得了預(yù)測(cè)被評(píng)價(jià)目標(biāo)所面臨威脅程度的可量化指標(biāo)。在最終分析階段，來源于兩個(gè)矩陣的分值加在一起，其結(jié)果可直接評(píng)定出當(dāng)前航空保安威脅的水平，并為采取相對(duì)應(yīng)的保安策略提供半定量評(píng)估數(shù)據(jù)支撐。
四、航空保安風(fēng)險(xiǎn)評(píng)估方法的局限
首先，正如上文提到，作為航空保安管理系統(tǒng)（SeMS）的有機(jī)組成部分之一，準(zhǔn)確而有效的風(fēng)險(xiǎn)評(píng)估只是保安管理的起點(diǎn)，它僅僅完成了三大保安原則的識(shí)別部分，其評(píng)估結(jié)果可服務(wù)于貫徹和維持的決策過程，卻無法替代保安管理所起的作用。
其次，風(fēng)險(xiǎn)評(píng)估的方法始終處于發(fā)展當(dāng)中，無論是定量評(píng)估、半定量評(píng)估還是定性評(píng)估，其優(yōu)缺點(diǎn)都很明顯，也不可能存在放之四海而皆準(zhǔn)的普世方法；加上航空保安威脅的來源復(fù)雜多樣，民航運(yùn)行單位抵御風(fēng)險(xiǎn)的能力也不盡相同，且風(fēng)險(xiǎn)評(píng)估所依賴的數(shù)據(jù)準(zhǔn)確性也難以保證，導(dǎo)致保安決策的及時(shí)有效變得愈加困難。鑒于此，風(fēng)險(xiǎn)評(píng)估需要整合多種評(píng)估工具和手段，并對(duì)通過這些工具和手段得出的不同結(jié)果進(jìn)行綜合分析，切忌偏信某種單一的評(píng)估結(jié)果。
最后，航空保安領(lǐng)域的任何評(píng)估方法，均來源于靜態(tài)的風(fēng)險(xiǎn)數(shù)據(jù)，其結(jié)果也僅在靜態(tài)風(fēng)險(xiǎn)狀態(tài)下有效。當(dāng)所評(píng)定的威脅和受威脅主體發(fā)生任何變化后，必須對(duì)現(xiàn)時(shí)數(shù)據(jù)進(jìn)行即時(shí)審查與糾正。這樣，通過適當(dāng)?shù)目刂坪凸芾?，以上風(fēng)險(xiǎn)評(píng)估過程才可為公共安全專業(yè)人員和其他決策者提供持續(xù)有效的風(fēng)險(xiǎn)管理和保安行動(dòng)策略參考。
五、結(jié)論
綜上所述，任何一種航空保安風(fēng)險(xiǎn)分析技術(shù)的提出都是伴隨著具體安全管理問題的出現(xiàn)和需要而產(chǎn)生的，都有其特有的適應(yīng)范圍和獨(dú)特的解決問題的方式。在航空保安管理決策過程中，必須靈活地運(yùn)用定量的評(píng)估方法與半定量的評(píng)估方法，取長(zhǎng)補(bǔ)短，從航空保安管理決策的具體情況出發(fā)進(jìn)行評(píng)估，并需要整合不同風(fēng)險(xiǎn)評(píng)價(jià)方法所得出的結(jié)果，對(duì)其進(jìn)行綜合、分析、計(jì)算，最后才能獲得盡可能有效的航空保安風(fēng)險(xiǎn)發(fā)生概率及損害程度，這樣才能為后階段的管理決策和風(fēng)險(xiǎn)防范提供有力依據(jù)。
〔參考文獻(xiàn)〕
〔1〕Conrow， E. H. Effective Risk Management： Some Keys to Success（2nd ed.）.American Institute of Aeronautics and Astronautics， Inc，2003.
〔2〕 Galileo T.， Micaela D.Risk Assessment Techniques for Civil Aviation Security.Reliability Engineering & System Safety，2011，Vol. 96（8），pp.892-899.
〔3〕B. John Garrick.Confronting the Risks of Terrorism： Making the Right Decisions.Reliability Engineering and System Safety，2004，Vol.86， pp.129-176.
〔4〕 Barry AS， Mazel DS.， Airport Perimeter Security： Where We’ve Been， Where We Are， and Where We’re Going.Proceedings of Technologies for Homeland Security， 2008 IEEE Conference on Digital Object Identifier，pp.57-62.
關(guān)鍵詞：網(wǎng)絡(luò)安全 風(fēng)險(xiǎn)評(píng)估 方法
中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1007-9416（2016）11-0210-01
1 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)概述
1.1 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)
網(wǎng)絡(luò)最大的特點(diǎn)便是自身的靈活性高、便利性強(qiáng)，其能夠?yàn)閺V大網(wǎng)絡(luò)用戶提供傳輸以及網(wǎng)絡(luò)服務(wù)等功能，網(wǎng)絡(luò)安全主要包括無線網(wǎng)絡(luò)安全和有線網(wǎng)絡(luò)安全。從無線網(wǎng)絡(luò)安全方面來看，無線網(wǎng)絡(luò)安全主要是保證使用者進(jìn)行網(wǎng)絡(luò)通話以及信息傳遞的安全性和保密性，其能否保證使用者的通話不被竊聽以及文件傳輸?shù)陌踩珕栴}都是當(dāng)前研究的重要課題，由于無線網(wǎng)絡(luò)在數(shù)據(jù)存儲(chǔ)和傳輸?shù)倪^程之中有著相當(dāng)嚴(yán)重的局限性，其在安全方面面臨著較大的風(fēng)險(xiǎn)，如何對(duì)這些風(fēng)險(xiǎn)進(jìn)行預(yù)防直接關(guān)乎著使用者的切身利益。想要對(duì)無線網(wǎng)絡(luò)安全進(jìn)行全面正確的評(píng)估，單純的定量分析法已經(jīng)不能夠滿足當(dāng)前的需求，因此，本文更推薦將層次分析法和逼近思想法進(jìn)行雙重結(jié)合，進(jìn)一步對(duì)一些不確定因素進(jìn)行全面的評(píng)估，確保分析到每一個(gè)定量和變量，進(jìn)一步計(jì)算出當(dāng)前無線網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)值。而對(duì)于有線網(wǎng)絡(luò)，影響其安全風(fēng)險(xiǎn)的因素相對(duì)較少，但是依然要對(duì)其進(jìn)行全面分析，盡最大可能得到最準(zhǔn)確的數(shù)值。
1.2 網(wǎng)絡(luò)安全的目標(biāo)
網(wǎng)絡(luò)安全系統(tǒng)最重要的核心目標(biāo)便是安全。在網(wǎng)絡(luò)漏洞日益增多的今天，如何對(duì)網(wǎng)絡(luò)進(jìn)行全方位無死角的漏洞安全排查便顯得尤為重要。在網(wǎng)絡(luò)安全檢測(cè)的各個(gè)方面均有著不同的要求，而借助這些各方面各個(gè)層次的安全目標(biāo)最終匯集成為一個(gè)總的目標(biāo)方案，而采取這種大目標(biāo)和小目標(biāo)的分層形式主要是為了確保網(wǎng)絡(luò)安全評(píng)估的工作效率，盡最大可能減少每個(gè)環(huán)節(jié)所帶來的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，從而保證網(wǎng)絡(luò)的合理安全運(yùn)行。
1.3 風(fēng)險(xiǎn)評(píng)估指標(biāo)
在本論文的分析過程之中，主要對(duì)風(fēng)險(xiǎn)評(píng)估劃分了三個(gè)系統(tǒng)化的指標(biāo)，即網(wǎng)絡(luò)層指標(biāo)體系、網(wǎng)絡(luò)傳輸風(fēng)險(xiǎn)指標(biāo)體系以及物理安全風(fēng)險(xiǎn)指標(biāo)體系，在各個(gè)指標(biāo)體系之中，又分別包含了若干個(gè)指標(biāo)要素，最終形成了一個(gè)完整的風(fēng)險(xiǎn)評(píng)估指標(biāo)體系，進(jìn)而避免了資源的不必要浪費(fèi)，最終達(dá)到網(wǎng)絡(luò)安全的評(píng)估標(biāo)準(zhǔn)。
2 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的方法
如何對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)進(jìn)行評(píng)估是當(dāng)前備受關(guān)注的研究課題之一。筆者結(jié)合了近幾年一些學(xué)者在學(xué)術(shù)期刊和論文上的意見進(jìn)行了全面的分析，結(jié)合網(wǎng)絡(luò)動(dòng)態(tài)風(fēng)險(xiǎn)的特點(diǎn)以及難點(diǎn)問題，最終在確定風(fēng)險(xiǎn)指標(biāo)系統(tǒng)的基礎(chǔ)上總結(jié)出了以下幾種方法，最終能夠保證網(wǎng)絡(luò)信息安全。
2.1 網(wǎng)絡(luò)風(fēng)險(xiǎn)分析
作為網(wǎng)絡(luò)安全第一個(gè)環(huán)節(jié)也是最為重要的一個(gè)環(huán)節(jié)，網(wǎng)絡(luò)風(fēng)險(xiǎn)分析的成敗直接決定了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的成敗。對(duì)于網(wǎng)絡(luò)風(fēng)險(xiǎn)進(jìn)行分析，不單單要涉及指標(biāo)性因素，還有將許多不穩(wěn)定的因素考慮在內(nèi)，全面的徹底的分析網(wǎng)絡(luò)安全問題發(fā)生的可能性。在進(jìn)行分析的過程之中，要從宏觀和微觀兩個(gè)方面進(jìn)行入手分手，最大程度的保證將內(nèi)外部因素全部考慮在內(nèi)，對(duì)網(wǎng)絡(luò)資產(chǎn)有一個(gè)大致的判斷，并借此展開深層次的分析和研究。
2.2 風(fēng)險(xiǎn)評(píng)估
在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估之中，可以說整個(gè)活動(dòng)的核心便是風(fēng)險(xiǎn)評(píng)估了。網(wǎng)絡(luò)風(fēng)險(xiǎn)的突發(fā)性以及并發(fā)性相對(duì)其他風(fēng)險(xiǎn)較高，這便進(jìn)一步的體現(xiàn)了風(fēng)險(xiǎn)評(píng)估工作的重要性。在進(jìn)行風(fēng)險(xiǎn)評(píng)估的過程之中，我們主要通過對(duì)風(fēng)險(xiǎn)誘導(dǎo)因素進(jìn)行定量和定性分析，在此分析的基礎(chǔ)上再加以運(yùn)用逼近思想法進(jìn)行全面的驗(yàn)證，從而不斷的促進(jìn)風(fēng)險(xiǎn)評(píng)估工作的效率以及安全性。在進(jìn)行風(fēng)險(xiǎn)評(píng)估的過程之中，要充分結(jié)合當(dāng)前網(wǎng)絡(luò)所處的環(huán)境進(jìn)行分析，將工作思想放開，不能拘泥于理論知識(shí)，將實(shí)踐和理論相結(jié)合，最終完成整個(gè)風(fēng)險(xiǎn)評(píng)估工作。
2.3 安全風(fēng)險(xiǎn)決策與監(jiān)測(cè)
在進(jìn)行安全風(fēng)險(xiǎn)決策的過程之中，對(duì)信息安全依法進(jìn)行管理和監(jiān)測(cè)是保證網(wǎng)絡(luò)風(fēng)險(xiǎn)安全的前提。安全決策主要是根據(jù)系統(tǒng)實(shí)時(shí)所面對(duì)的具體狀況所進(jìn)行的風(fēng)險(xiǎn)方案決策，其具有臨時(shí)性和靈活性的特點(diǎn)。借助安全決策可以在一定程度上確保當(dāng)前的網(wǎng)絡(luò)安全系統(tǒng)的穩(wěn)定，從而最終保證風(fēng)險(xiǎn)評(píng)估得以平穩(wěn)進(jìn)行。而對(duì)于安全監(jiān)測(cè)，網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估的任何一個(gè)過程都離不開安全檢測(cè)的運(yùn)行。網(wǎng)絡(luò)的不確定性直接決定了網(wǎng)絡(luò)安全監(jiān)測(cè)的必要性，在系統(tǒng)更新?lián)Q代中，倘若由于一些新的風(fēng)險(xiǎn)要素導(dǎo)致整個(gè)網(wǎng)絡(luò)的安全評(píng)估出現(xiàn)問題，那么之前的風(fēng)險(xiǎn)分析和決策對(duì)于后面的管理便已經(jīng)毫無作用，這時(shí)候網(wǎng)絡(luò)監(jiān)測(cè)所起到的一個(gè)作用就是實(shí)時(shí)判斷網(wǎng)絡(luò)安全是否產(chǎn)生突發(fā)狀況，倘若產(chǎn)生了突發(fā)狀況，相關(guān)決策部門能夠第一時(shí)間的進(jìn)行策略調(diào)整。因此，網(wǎng)絡(luò)監(jiān)測(cè)在整個(gè)工作之中起到一個(gè)至關(guān)重要的作用。
3 結(jié)語
網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估是一個(gè)復(fù)雜且完整的系統(tǒng)工程，其本質(zhì)性質(zhì)決定了風(fēng)險(xiǎn)評(píng)估的難度。在進(jìn)行網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的過程之中，要有層次的選擇合適的評(píng)估方法進(jìn)行評(píng)估，確保風(fēng)險(xiǎn)分析和評(píng)估工作的有序進(jìn)行，同時(shí)又要保證安全決策和安全檢測(cè)的完整運(yùn)行，與此同時(shí)，要保證所有的突發(fā)狀況都能夠及時(shí)的反映和對(duì)付，最終確保整個(gè)網(wǎng)絡(luò)安全的平穩(wěn)運(yùn)行。
參考文獻(xiàn)
[1]程建華.信息安全風(fēng)險(xiǎn)管理、評(píng)估與控制研究[D].吉林大學(xué)，2008.
[2]李志偉.信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估及風(fēng)險(xiǎn)管理對(duì)策研究[D].北京交通大學(xué)，2010.
[3]孫文磊.信息安全風(fēng)險(xiǎn)評(píng)估輔助管理軟件開發(fā)研究[D].天津大學(xué)，2012.
關(guān)鍵詞:信息安全;信息資產(chǎn);風(fēng)險(xiǎn)評(píng)估;層次分析法
中圖分類號(hào):TP309文獻(xiàn)標(biāo)識(shí)碼:A 文章編號(hào):1009-3044(2010)19-5129-03
The Research for Information Security Risk Assessment Based on AHP Method
ZENG Li-mei, JIANG Wen-hao
(School of Computer Science and Technology , Chongqing University of Posts and Telecommunications, Chongqing 400065, China)
Abstract: The risk assessment of information security evolves four fundamental elements included information capital, the fragility of information capital, the encountering threats and the possible risk in information capital. The key problem for risk assessment relies on the weight among risk factors. This issue takes an enterprise as an example, introduced a method called Analytic Hierarchy Process (AHP) to evaluate the risk of systems. The results show that this method can be applied well to information security risk assessment.
Key words: information security; information capital; risk assessment; Analytic Hierarchy Process (AHP)
計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)在當(dāng)今社會(huì)迅猛發(fā)展并且得到廣泛應(yīng)用,使得各行各業(yè)對(duì)信息系統(tǒng)的依賴日益加深,信息技術(shù)幾乎滲透到了社會(huì)生活的方方面面。信息系統(tǒng)及其所承載信息的安全問題日益突出,為了在安全風(fēng)險(xiǎn)的預(yù)防、減少、轉(zhuǎn)移、補(bǔ)償和分散等之間做出決策,需要對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估。
信息安全風(fēng)險(xiǎn)評(píng)估,是指依據(jù)國家有關(guān)信息安全技術(shù)標(biāo)準(zhǔn),對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的保密性、完整性和可用性等安全屬性進(jìn)行科學(xué)評(píng)價(jià)的過程[1]。風(fēng)險(xiǎn)評(píng)估是提高系統(tǒng)安全性的關(guān)鍵環(huán)節(jié),通過風(fēng)險(xiǎn)評(píng)估,了解系統(tǒng)的安全狀況,將信息系統(tǒng)的風(fēng)險(xiǎn)控制在可接受的范圍內(nèi)。
1信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估要素
1.1 風(fēng)險(xiǎn)評(píng)估的各要素
信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估要素及其各要素間的關(guān)系如圖l所示。
圖1中,整個(gè)模型的核心是風(fēng)險(xiǎn),資產(chǎn)、脆弱性和威脅是風(fēng)險(xiǎn)評(píng)估的基本要素。風(fēng)險(xiǎn)評(píng)估的工作圍繞其基本要素展開 。
1.2 風(fēng)險(xiǎn)評(píng)估各要素之間的關(guān)系
風(fēng)險(xiǎn)評(píng)估基本要素之間存在以下關(guān)系:
資產(chǎn)是信息系統(tǒng)中需要保護(hù)的對(duì)象,資產(chǎn)完成業(yè)務(wù)戰(zhàn)略。單位的業(yè)務(wù)戰(zhàn)略越重要,對(duì)資產(chǎn)的依賴度越高,資產(chǎn)的價(jià)值就越大,資產(chǎn)的價(jià)值越大風(fēng)險(xiǎn)則越大。
風(fēng)險(xiǎn)是由威脅引起的,威脅越大風(fēng)險(xiǎn)就越大,并很有可能演變成安全事件。
脆弱性是資產(chǎn)中的弱點(diǎn)。威脅利用脆弱性,脆弱性越大風(fēng)險(xiǎn)就越大。
安全需求由資產(chǎn)的重要性和對(duì)風(fēng)險(xiǎn)的意識(shí)導(dǎo)出。安全措施可以抗擊威脅,降低風(fēng)險(xiǎn),減弱安全事件的不良影響。
風(fēng)險(xiǎn)不可能也沒有必要降為零,在實(shí)施了安全措施后還會(huì)有殘留下來的風(fēng)險(xiǎn),稱為殘余風(fēng)險(xiǎn)。殘余風(fēng)險(xiǎn)可以接受,但應(yīng)受到密切監(jiān)視,因?yàn)樗赡軙?huì)在將來誘發(fā)新的安全事件[2]。
2 風(fēng)險(xiǎn)評(píng)估方法
目前國內(nèi)外存在很多風(fēng)險(xiǎn)評(píng)估的方法,還沒有統(tǒng)一的信息安全風(fēng)險(xiǎn)分析的方法。在風(fēng)險(xiǎn)評(píng)估過程中根據(jù)系統(tǒng)的實(shí)際情況,選擇合適的風(fēng)險(xiǎn)評(píng)估方法。風(fēng)險(xiǎn)評(píng)估的方法概括起來可分為三大類:定性分析方法、定量分析方法、定性和定量相結(jié)合的分析方法。[3]
2.1定性分析方法
定性分析方法是一種典型的模糊分析方法,可以快捷的對(duì)資源、威脅、脆弱性進(jìn)行系統(tǒng)評(píng)估。典型的定性分析方法有邏輯分析法、因素分析法、德爾斐法、歷史比較法[4] 。
定性評(píng)估方法的優(yōu)點(diǎn)是全面、深入,缺點(diǎn)是主觀性太強(qiáng),對(duì)評(píng)估者要求高。
2.2 定量分析方法
定量分析方法是在定性分析的邏輯基礎(chǔ)上,通過對(duì)風(fēng)險(xiǎn)評(píng)估各要素的分析,為信息系統(tǒng)提供系統(tǒng)的分析手段。典型的定量分析方法有決策樹法、回歸模型、因子分析法。
定量分析方法的優(yōu)點(diǎn)是直觀、明顯、客觀、對(duì)比性強(qiáng),缺點(diǎn)是簡(jiǎn)單化、模糊化、會(huì)造成誤解和曲解。
2.3 定性和定量結(jié)合的綜合評(píng)估方法
定量分析是定性分析的基礎(chǔ)和前提,定性分析應(yīng)該建立在定量分析的基礎(chǔ)上才能揭示客觀事物的內(nèi)在規(guī)律。不能將定性分析方法與定量分析方割裂,而是將這兩種方法融合起來,發(fā)揮各自的優(yōu)勢(shì),采用綜合分析評(píng)估方法。主要的綜合分析方法有模糊綜合評(píng)價(jià)方法、層次分析法、概率風(fēng)險(xiǎn)評(píng)估等。[5]
3 AHP方法
3.1 層次分析法簡(jiǎn)介
層次分析法(AHP)是美國運(yùn)籌學(xué)家薩蒂(T.L.Saaty)于20世紀(jì)70年代初提出的一種定性與定量分析相結(jié)合的多準(zhǔn)則決策分析方法,該方法簡(jiǎn)便、靈活又實(shí)用。
層次分析法的基本思想是在決策目標(biāo)的要求下,將決策對(duì)象相對(duì)于決策標(biāo)準(zhǔn)的優(yōu)劣狀況進(jìn)行兩兩比較,最終獲得各個(gè)對(duì)象的總體優(yōu)劣狀況,從而為決策者提供定量形式的決策依據(jù) [6] 。
3.2 系統(tǒng)分解,建立層次結(jié)構(gòu)模型
層次模型的構(gòu)造是運(yùn)用分解法的思想,進(jìn)行對(duì)象的系統(tǒng)分解。它的基本層次包括目標(biāo)層、準(zhǔn)則層、方案層三類。目的是建立系統(tǒng)的評(píng)估指標(biāo)體系。層次結(jié)構(gòu)如圖2所示。
3.3 構(gòu)造判斷矩陣
判斷矩陣的作用是同層次的兩兩元素之間的相對(duì)重要性進(jìn)行比較。層次分析法采用1～9標(biāo)度方法,對(duì)不同情況的評(píng)比給出數(shù)量標(biāo)度,如表1所示。[7]
構(gòu)造判斷矩陣,判斷矩陣A=(aij)n×n有如下性質(zhì):①aij>0;②當(dāng)i≠j時(shí),aji=1/aij;③當(dāng)i=j時(shí),aij=1。aij為i與j兩因素相對(duì)權(quán)值的比值。
3.4 層次排序
步驟一:將A的每一列向量歸一化。
步驟二:對(duì)按列歸一化的判斷矩陣,再按行求和。
步驟三:將向量歸一化。
3.5 一致性檢驗(yàn)
步驟一:計(jì)算判斷矩陣的最大特征根。
式中(AW)i表示AW的第i個(gè)元素。
步驟二:計(jì)算一致性指標(biāo)。
式中,λmax 表示比較判斷矩陣的最大特征根,n表示比較判斷矩陣階數(shù)。
步驟三:計(jì)算一致性比率。
當(dāng) CR
平均隨機(jī)一致性標(biāo)度如表2所示。
4.評(píng)估方法實(shí)際應(yīng)用
4.1 建立信息安全風(fēng)險(xiǎn)評(píng)估模型
為了突出風(fēng)險(xiǎn)評(píng)估的重點(diǎn),對(duì)信息系統(tǒng)風(fēng)險(xiǎn)的評(píng)價(jià)指標(biāo)進(jìn)行適當(dāng)?shù)暮?jiǎn)化,建立某企業(yè)信息安全風(fēng)險(xiǎn)評(píng)估層次結(jié)構(gòu)模型,如圖3所示。
4.2 風(fēng)險(xiǎn)評(píng)估結(jié)果
根據(jù)圖3各評(píng)估因素及其相互關(guān)系,建立兩兩比較判斷矩陣,如表3、表4、表5、表6所示,用AHP方法求解一致性比率CR,判斷矩陣是否具有滿意一致性。
表3G-C的判斷矩陣
表4C1-P的判斷矩陣 表5C2-P的判斷矩陣 表6C3-P的判斷矩陣
以上結(jié)果CR均小于0.1,表明比較判斷矩陣都滿足一致性檢驗(yàn)標(biāo)準(zhǔn)。由以上結(jié)果求的最終的總層次排序結(jié)果如表7所示。
5 結(jié)束語
在信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估中,風(fēng)險(xiǎn)評(píng)估方法一直都是研究的關(guān)鍵點(diǎn)。本文采用層次分析法對(duì)風(fēng)險(xiǎn)評(píng)估的指標(biāo)進(jìn)行了分析,通過分析研究可得,層次分析法在風(fēng)險(xiǎn)評(píng)估和等級(jí)劃分的實(shí)際應(yīng)用中是一種行之有效、可操作性強(qiáng)的方法,可以很好的應(yīng)用于信息安全風(fēng)險(xiǎn)評(píng)估。
參考文獻(xiàn):
[1] GB/T 20984-2007,信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)[S].中華人民共和國國家標(biāo)準(zhǔn),2007.
[2] 向宏,傅鵬,詹榜華.信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估[M].北京:電子工業(yè)出版社,2009:319.
[3] 王偉,李春平,李建彬.信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估方法的研究[J].計(jì)算機(jī)工程與設(shè)計(jì),2007,28(14):3473-3474.
[4] 范紅,馮登國,吳亞非.信息安全風(fēng)險(xiǎn)評(píng)估方法與應(yīng)用[M].北京:清華大學(xué)出版社,2006:49-50.
[5] 吳亞非,李友新,祿凱.信息安全風(fēng)險(xiǎn)評(píng)估[M].北京:清華大學(xué)出版社,2007:101-109.
關(guān)鍵詞：信息安全；風(fēng)險(xiǎn)評(píng)估
隨著我國經(jīng)濟(jì)發(fā)展及社會(huì)信息化程度不斷加快，網(wǎng)絡(luò)得到了迅速的發(fā)展，并且在人們的生活、學(xué)習(xí)及工作中的作用越來越大，同時(shí)伴隨而來的網(wǎng)絡(luò)信息安全問題也越來越多了，這給人們不僅給人們的生活帶來了不便，還會(huì)造成經(jīng)濟(jì)損失，對(duì)信息安全進(jìn)行風(fēng)險(xiǎn)評(píng)估還是很有必要的。
1. 信息安全風(fēng)險(xiǎn)評(píng)估概述
信息安全風(fēng)險(xiǎn)評(píng)估所指的是信息系統(tǒng)因?yàn)樽陨泶嬖谥踩觞c(diǎn)，當(dāng)在自然或者自然的威脅之下發(fā)生安全問題的可能性，安全風(fēng)險(xiǎn)是指安全事件發(fā)生可能性及事件會(huì)造成的影響來進(jìn)行綜合衡量，在信息安全的管理環(huán)節(jié)中，每個(gè)環(huán)節(jié)都存在著安全風(fēng)險(xiǎn)。信息安全的風(fēng)險(xiǎn)評(píng)估所指的是從風(fēng)險(xiǎn)管理的角度看，采用科學(xué)的手段及方法，對(duì)網(wǎng)絡(luò)信息系統(tǒng)存在的脆弱性及面臨的威脅進(jìn)行系統(tǒng)地分析，對(duì)安全事件發(fā)生可能帶來的危害程度進(jìn)行評(píng)估，同時(shí)提出有針對(duì)的防護(hù)對(duì)策及整改措施，從而有效地化解及防范信息安全的風(fēng)險(xiǎn)，或把風(fēng)險(xiǎn)控制在能夠接受的范圍內(nèi)，這樣能夠最大限度地為信息安全及網(wǎng)絡(luò)保障提供相關(guān)的科學(xué)依據(jù)。
2. 信息安全的風(fēng)險(xiǎn)評(píng)估原則、風(fēng)險(xiǎn)計(jì)算模型及評(píng)估方法
2.1 信息安全的風(fēng)險(xiǎn)評(píng)估原則
信息安全的風(fēng)險(xiǎn)評(píng)估原則主要包括可控性、保密性、最小影響及完整性四個(gè)原則?？煽匦栽瓌t包含人員、項(xiàng)目過程及工具的可控性，人員的可控性是指凡是參與信息的安全評(píng)估人員都應(yīng)該資格的審查及備案，要對(duì)職責(zé)進(jìn)行明確的分工，當(dāng)人員的工作崗位發(fā)生變更時(shí)，要嚴(yán)格執(zhí)行審批手續(xù)，從而確定人員的可控；項(xiàng)目過程的可控是指要運(yùn)用項(xiàng)目管理的方法學(xué)進(jìn)行項(xiàng)目管理的評(píng)估，并重視項(xiàng)目管理中的溝通管理，從而有效地實(shí)現(xiàn)項(xiàng)目過程的可控；工具的可控是指對(duì)風(fēng)險(xiǎn)評(píng)估工具應(yīng)運(yùn)用多方的性能比對(duì)及精心挑選，同時(shí)要取得相關(guān)部門及相關(guān)專家的論證及認(rèn)證。保密原則所指的是要跟相關(guān)的評(píng)估對(duì)象簽訂非侵害行為協(xié)議及保密協(xié)議。最小影響原則所指的是通過工具技術(shù)及項(xiàng)目管理層面對(duì)信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評(píng)估，從而將影響正常運(yùn)行的影響降到最低。完整性原則所指的是嚴(yán)格依照委托單位的制定范圍及評(píng)估要求進(jìn)行有效地全面評(píng)估服務(wù)。
2.2 信息安全風(fēng)險(xiǎn)計(jì)算模型
風(fēng)險(xiǎn)計(jì)算模型所指的是對(duì)風(fēng)險(xiǎn)進(jìn)行分析及計(jì)算風(fēng)險(xiǎn)值過程的抽象，包括脆弱性評(píng)估、威脅評(píng)估、資產(chǎn)評(píng)估及風(fēng)險(xiǎn)分析，如圖所示。
風(fēng)險(xiǎn)計(jì)算模型圖
風(fēng)險(xiǎn)計(jì)算過程為：對(duì)資產(chǎn)進(jìn)行識(shí)別，且對(duì)資產(chǎn)進(jìn)行賦值；對(duì)威脅分析且對(duì)其威脅的可能性給予賦值；對(duì)資產(chǎn)的脆弱性進(jìn)行識(shí)別，且對(duì)其嚴(yán)重程度給予賦值；依據(jù)脆弱及威脅性來計(jì)算安全事件會(huì)發(fā)生的可能性；同時(shí)依據(jù)資產(chǎn)重要性來評(píng)估發(fā)生安全事件的風(fēng)險(xiǎn)值；通過指標(biāo)體系中的指標(biāo)風(fēng)險(xiǎn)值進(jìn)行定性及定量的評(píng)估方法來綜合分析，從而得出信息安全風(fēng)險(xiǎn)的評(píng)估值。
3.信息安全風(fēng)險(xiǎn)評(píng)估方法
信息安全的風(fēng)險(xiǎn)評(píng)估方法有很多，按照計(jì)算方法可以分為三種，定量、定性及定量和定性相結(jié)合的風(fēng)險(xiǎn)評(píng)估方法。定量風(fēng)險(xiǎn)評(píng)估方法是一種較為精確的風(fēng)險(xiǎn)評(píng)估法，常用數(shù)學(xué)形式來進(jìn)行表達(dá)，當(dāng)風(fēng)險(xiǎn)對(duì)信息會(huì)帶來較大的危險(xiǎn)或者資料比較充足時(shí)，可運(yùn)用定量風(fēng)險(xiǎn)進(jìn)行評(píng)估。進(jìn)行定量評(píng)估的優(yōu)點(diǎn)是能夠用較為直觀的數(shù)據(jù)進(jìn)行表述，這樣評(píng)估的結(jié)果較為客觀，研究結(jié)果更為科學(xué)；其缺點(diǎn)是在量化中，一些較為復(fù)雜的事物被模糊及簡(jiǎn)單化了，一些風(fēng)險(xiǎn)因素可能被曲解或者誤解，再加上資產(chǎn)價(jià)值及發(fā)生概率量化較為困難，這種方法使用起來其難度是比較高的，定量評(píng)估法中的分析方法有回歸模型、聚類分析法、因子分析法、決策樹法、時(shí)序模型及等風(fēng)險(xiǎn)圖法等。定性風(fēng)險(xiǎn)評(píng)估法是指根據(jù)研究者的經(jīng)驗(yàn)、知識(shí)、政策走向、特殊變例及歷史教訓(xùn)等非量化的資料對(duì)系統(tǒng)的風(fēng)險(xiǎn)狀況作出相應(yīng)判斷的過程。主要對(duì)調(diào)查對(duì)象進(jìn)行深入訪談并作出個(gè)案記錄作為基本的資料，運(yùn)用理論對(duì)分析框架進(jìn)行推導(dǎo)演繹，并編碼整理資料，以作出結(jié)論。定性分析法有歷史比較法、因素分析法、德爾菲法及邏輯分析法。這種方法的優(yōu)點(diǎn)是所需要的時(shí)間、人力資源及費(fèi)用比較少，缺點(diǎn)是主觀性太強(qiáng)，往往不太準(zhǔn)確。在進(jìn)行風(fēng)險(xiǎn)評(píng)估中，一些評(píng)估的要素是能夠用量化形式進(jìn)行表達(dá)的，有些要素用量化是比較困難的，在信息安全的風(fēng)險(xiǎn)評(píng)估中一味地用量化是不準(zhǔn)確科學(xué)的，定量風(fēng)險(xiǎn)分析是進(jìn)行定性風(fēng)險(xiǎn)分析的前提和基礎(chǔ)，定性分析是靈魂，需要在定量分析之上來揭示客觀事物的規(guī)律，在進(jìn)行信息安全的風(fēng)險(xiǎn)評(píng)估時(shí)，不應(yīng)該將定量分析及定性分析簡(jiǎn)單割裂，而是將這兩種評(píng)估方法有機(jī)的結(jié)合起來，進(jìn)行定量與定性的綜合評(píng)估。按照實(shí)施手段可以區(qū)分為動(dòng)態(tài)系統(tǒng)技術(shù)和基于樹的技術(shù)，動(dòng)態(tài)系統(tǒng)技術(shù)有馬爾可夫分析方法、嘗試法、動(dòng)態(tài)事件樹的分析法及動(dòng)態(tài)事件邏輯分析法等，其中馬爾可夫分析法還可以稱為馬爾可夫轉(zhuǎn)移矩陣法，所指的是在馬兒可夫的過程之下，運(yùn)用隨機(jī)變量的變化情況對(duì)變量的未來變化情況進(jìn)行預(yù)測(cè)的一種方法。基于樹技術(shù)的方法主要有事件樹分析法、故障樹分析法及因果樹分析法等。
3. 信息安全分風(fēng)險(xiǎn)評(píng)估的發(fā)展方向
3.1 由單純技術(shù)風(fēng)險(xiǎn)評(píng)估向一體風(fēng)險(xiǎn)評(píng)估的轉(zhuǎn)變以及基于知識(shí)和模型評(píng)估的重視
單純技術(shù)評(píng)估所強(qiáng)調(diào)的是組織技術(shù)中的脆弱性，信息安全的一體化風(fēng)險(xiǎn)評(píng)估拓展了技術(shù)風(fēng)險(xiǎn)評(píng)估的范圍，它所強(qiáng)調(diào)的是業(yè)務(wù)風(fēng)險(xiǎn)分析方法，其核心是業(yè)務(wù)過程層次中的風(fēng)險(xiǎn)識(shí)別，能夠有效地保證業(yè)務(wù)組織的持續(xù)性，一體化風(fēng)險(xiǎn)評(píng)估所著眼的是組織和安全相關(guān)的風(fēng)險(xiǎn)，主要包含內(nèi)外部環(huán)境風(fēng)險(xiǎn)源、組織結(jié)構(gòu)及技術(shù)基礎(chǔ)，并基于信息及人的風(fēng)險(xiǎn)，并按照目標(biāo)或者組織業(yè)務(wù)影響的大小來對(duì)安全風(fēng)險(xiǎn)排序?；谥R(shí)風(fēng)險(xiǎn)評(píng)估的方法是指依照安全專家處所獲得的經(jīng)驗(yàn)對(duì)相似場(chǎng)景進(jìn)行解決的風(fēng)險(xiǎn)評(píng)估，這種風(fēng)險(xiǎn)評(píng)估方法能夠更直接地提供所推薦的結(jié)構(gòu)框架、實(shí)施計(jì)劃及保護(hù)措施。基于模型風(fēng)險(xiǎn)評(píng)估的方法是指能夠?qū)π畔⑾到y(tǒng)中的內(nèi)部機(jī)制所涉及的危險(xiǎn)因素和當(dāng)系統(tǒng)跟外界交互時(shí)產(chǎn)生的不正常有害行為給予建模，從而對(duì)信息系統(tǒng)的安全威脅及系統(tǒng)弱點(diǎn)進(jìn)行定性分析，注重模型評(píng)估及知識(shí)風(fēng)險(xiǎn)評(píng)估是很有必要的分析方法。
3.2 運(yùn)用信息安全風(fēng)險(xiǎn)評(píng)估的輔助工具來加速評(píng)估的進(jìn)程
在風(fēng)險(xiǎn)評(píng)估工具運(yùn)用之前，所采用的是手工勞動(dòng)，勞動(dòng)量大并且 易出現(xiàn)紕漏，而且還不可避免的帶有風(fēng)險(xiǎn)評(píng)估人員的主觀性，風(fēng)險(xiǎn)評(píng)估工具的運(yùn)用有效地解決了手工評(píng)估所帶來的局限性，像英國的CRAMM評(píng)估能夠用于商業(yè)影響評(píng)估及識(shí)別、資產(chǎn)的建模、威脅與弱點(diǎn)的評(píng)估、安全需求的定義、風(fēng)險(xiǎn)等級(jí)的評(píng)估等。COBRA風(fēng)險(xiǎn)評(píng)估工具，它所依據(jù)的是專家系統(tǒng)及知識(shí)庫問卷系統(tǒng)，能夠有效地對(duì)脆弱點(diǎn)及威脅點(diǎn)的相對(duì)重要性進(jìn)行評(píng)估，且給出相應(yīng)的解決方案，風(fēng)險(xiǎn)評(píng)估工具還有很多，在進(jìn)行信息安全的風(fēng)險(xiǎn)評(píng)估時(shí)，要運(yùn)用多種輔助工具來加速評(píng)估的進(jìn)程。
4. 總結(jié)
對(duì)信息安全進(jìn)行風(fēng)險(xiǎn)評(píng)估是對(duì)信息安全的有效保障，進(jìn)行風(fēng)險(xiǎn)評(píng)估不僅能夠提高相關(guān)人員的信息安全的風(fēng)險(xiǎn)意識(shí)及防范措施，還能夠運(yùn)用分先評(píng)估進(jìn)行信息系統(tǒng)的等級(jí)建設(shè)及保護(hù)性能的技術(shù)支持，對(duì)信息安全中的不確定性因素進(jìn)行風(fēng)險(xiǎn)評(píng)估，并采取不同的措施進(jìn)行處理，從而保證信息系統(tǒng)的安全有效運(yùn)行。
參考文獻(xiàn)：
[1]沈吉鋒,張永志,潘軍.信息安全風(fēng)險(xiǎn)評(píng)估分析方法簡(jiǎn)述[J].電腦知識(shí)與技術(shù),2010(05)
[2]翟亞紅.淺析信息安全風(fēng)險(xiǎn)評(píng)估與等級(jí)保護(hù)的關(guān)系[J].信息安全與通信保密,2011(04)
關(guān)鍵詞：城市區(qū)域；火災(zāi)風(fēng)險(xiǎn)；評(píng)估
一、火災(zāi)風(fēng)險(xiǎn)評(píng)估的概念
過去，人們往往依靠經(jīng)驗(yàn)和直觀推斷來做出決策。隨著計(jì)算機(jī)容量不斷擴(kuò)大和模塊技術(shù)的發(fā)展，風(fēng)險(xiǎn)評(píng)估（risk assessment）和風(fēng)險(xiǎn)管理（risk management）技術(shù)作為復(fù)雜或重大事項(xiàng)決策的必要輔助手段，在過去的二、三十年間，在決策分析、管理科學(xué)、運(yùn)營研究和系統(tǒng)安全等領(lǐng)域得到了廣泛的認(rèn)知和應(yīng)用 。
從系統(tǒng)分析的角度來看，風(fēng)險(xiǎn)具有系統(tǒng)特性和動(dòng)態(tài)特性。風(fēng)險(xiǎn)實(shí)際上并非某一單一實(shí)體或事物的固有特性，而是屬于一個(gè)系統(tǒng)的特性。若系統(tǒng)發(fā)生變化，很容易就會(huì)使事先對(duì)風(fēng)險(xiǎn)所做的估算隨之發(fā)生變化?；馂?zāi)風(fēng)險(xiǎn)評(píng)估模式包括：系統(tǒng)認(rèn)定，即明確所要評(píng)估的具體系統(tǒng)并定義出風(fēng)險(xiǎn)抵御措施的過程；風(fēng)險(xiǎn)估算，即設(shè)定關(guān)于火災(zāi)的發(fā)生幾率和嚴(yán)重后果及其伴隨的不確定性的衡量標(biāo)準(zhǔn)或尺度，計(jì)算和量化系統(tǒng)中的指標(biāo)的過程；風(fēng)險(xiǎn)評(píng)估，對(duì)該標(biāo)準(zhǔn)或尺度進(jìn)行分析和估算，確定某一特定風(fēng)險(xiǎn)值的重要性或某一特定風(fēng)險(xiǎn)發(fā)生變化的權(quán)重。
二、城市區(qū)域火災(zāi)風(fēng)險(xiǎn)評(píng)估的意義及發(fā)展概況
在消防方面，隨著人們安全意識(shí)的提高和建筑設(shè)計(jì)性能化的發(fā)展，對(duì)建筑工程的安全評(píng)估日益受到重視，比如美國消防協(xié)會(huì)制定的“NFPA101生命安全法規(guī)”是一部關(guān)注火災(zāi)中的人員安全的消防法規(guī)，與之同源的“NFPA101A確保生命安全的選擇性方法指南”，分別針對(duì)醫(yī)護(hù)場(chǎng)所、監(jiān)禁場(chǎng)所、辦公場(chǎng)所等，給出了一系列安全評(píng)估方法，多應(yīng)用于建筑工程的安全性評(píng)估方面 。
目前，我國在火災(zāi)風(fēng)險(xiǎn)評(píng)價(jià)方面的研究，大部分是以某一企業(yè)，或某一特定建筑物為對(duì)象的小系統(tǒng)。例如，由武警學(xué)院承擔(dān)的國家“九五”科技攻關(guān)項(xiàng)目“石化企業(yè)消防安全評(píng)價(jià)方法及軟件開發(fā)研究”，以“石油化工企業(yè)防火設(shè)計(jì)規(guī)范”等消防規(guī)范和德爾菲專家調(diào)查法為基礎(chǔ)，設(shè)計(jì)了石化企業(yè)消防安全評(píng)價(jià)的指標(biāo)體系，利用層次分析法和道化指數(shù)法確定了各指標(biāo)的權(quán)重，采用線性加權(quán)模型得出煉油廠的消防安全評(píng)價(jià)結(jié)果[7]。以某一特定建筑物為對(duì)象的火災(zāi)風(fēng)險(xiǎn)評(píng)價(jià)也比較多，如中國礦業(yè)大學(xué)周心權(quán)教授，在分析建筑火災(zāi)發(fā)生原因的基礎(chǔ)上，建立了建筑火災(zāi)風(fēng)險(xiǎn)評(píng)估因素集，并運(yùn)用模糊評(píng)價(jià)法對(duì)我國的高層民用建筑進(jìn)行了消防安全評(píng)價(jià) 。
與上述的安全評(píng)估不同，城市區(qū)域的火災(zāi)風(fēng)險(xiǎn)評(píng)估的目的是根據(jù)不同的火災(zāi)風(fēng)險(xiǎn)級(jí)別，配置消防救援力量，指導(dǎo)城市消防系統(tǒng)改造，指導(dǎo)城市消防規(guī)劃。對(duì)已建成的城市區(qū)域的火災(zāi)風(fēng)險(xiǎn)評(píng)估必須考慮許多因素，即城市火災(zāi)危險(xiǎn)性評(píng)價(jià)指標(biāo)體系，包括區(qū)域內(nèi)所存在的對(duì)生命安全造成危險(xiǎn)的情況、火災(zāi)頻率、氣候條件、人口統(tǒng)計(jì)等因素，進(jìn)而評(píng)價(jià)社區(qū)的消防部署和消防能力等抵御風(fēng)險(xiǎn)的因素。除此之外，在評(píng)估過程中另一個(gè)重要的情況是要關(guān)注社區(qū)從財(cái)政及其他方面為消防規(guī)劃中所要求的總體消防水平提供支持的能力和意愿。隨著城市規(guī)模擴(kuò)大、綜合功能增強(qiáng)，在居住區(qū)商貿(mào)中心、醫(yī)院、學(xué)校、和護(hù)理場(chǎng)所增多，評(píng)估方法還會(huì)相應(yīng)的改變?，F(xiàn)有的城市區(qū)域火災(zāi)風(fēng)險(xiǎn)評(píng)估方法主要出于以下兩個(gè)目的：
（一）用于保險(xiǎn)目的
在火災(zāi)保險(xiǎn)方面的應(yīng)用的典型事例為美國保險(xiǎn)管理處ISO（Insurance Services Office， ISO）的城市火災(zāi)分級(jí)法，在美國已經(jīng)被視為指導(dǎo)社區(qū)政府部門對(duì)其火災(zāi)抵御能力和實(shí)際情況進(jìn)行分類和自我評(píng)估的良好方法。ISO方法把社區(qū)消防狀況分為10個(gè)等級(jí)，10級(jí)最差，1級(jí)最好。
ISO是按照一套統(tǒng)一的指標(biāo)來對(duì)每個(gè)社區(qū)的客觀存在的滅火能力進(jìn)行評(píng)估，確定該社區(qū)的公共消防級(jí)別，這套指標(biāo)來自于由美國消防協(xié)會(huì)和美國自來水公司協(xié)會(huì)所制定的各種國家規(guī)范。ISO對(duì)城市消防的分級(jí)方法主要體現(xiàn)在它的“市政消防分級(jí)表（Commercial Fire Rating Schedule， CFRS）”上。CFRS把建筑結(jié)構(gòu)、用途、防火間距與公共消防情況（用公共消防分級(jí)數(shù)目表達(dá)）相關(guān)聯(lián)，再以統(tǒng)計(jì)數(shù)據(jù)加以調(diào)節(jié)后，來確定相應(yīng)的火險(xiǎn)費(fèi)用。ISO級(jí)別僅被保險(xiǎn)公司用作確定火險(xiǎn)費(fèi)用的一個(gè)成分。ISO分級(jí)系統(tǒng)雖然無法反映出消防組織的其他應(yīng)急救援能力，但實(shí)際上也常用于各個(gè)區(qū)域的公共滅火力量的確定。
市政消防分級(jí)表從1974年開始使用，主要考察某城市區(qū)域的7個(gè)指標(biāo)情況：供水、消防隊(duì)、火災(zāi)報(bào)警、建筑法規(guī)、電氣法規(guī)、消防法規(guī)、氣候條件。隨著技術(shù)進(jìn)步，該表也不斷改進(jìn)。1980年版抽取了CFRS中對(duì)公共消防分級(jí)的方法，給出了修訂后的滅火力量等級(jí)表，指標(biāo)只包括前3項(xiàng)。被刪除的指標(biāo)或者確少區(qū)分度，或者在全市范圍內(nèi)進(jìn)行評(píng)估時(shí)太過于主觀，而且74表格中包含許多評(píng)估標(biāo)準(zhǔn)是具體的規(guī)定，如果某一社區(qū)的情況沒有滿足這些規(guī)定，則歸屬為差額分，規(guī)定降低了表格可使用的彈性范圍，無法正確評(píng)估情況和技術(shù)的變化。故而ISO分級(jí)表被視為越來越“性能化”。
（二）用于消防力量的部署
當(dāng)今的消防組織和地方政府要擔(dān)負(fù)日益加重的安全責(zé)任，面對(duì)來自公眾的對(duì)抵御各種風(fēng)險(xiǎn)的更多的期望，以及調(diào)整消防機(jī)構(gòu)人員、設(shè)備及其他預(yù)算方面的壓力，迫切需要確認(rèn)某一給定轄區(qū)內(nèi)的具體風(fēng)險(xiǎn)和危險(xiǎn)的等級(jí)。
具體地說，城市區(qū)域風(fēng)險(xiǎn)評(píng)估在消防方面的目的就是：使公眾和消防員的生命、財(cái)產(chǎn)的預(yù)期風(fēng)險(xiǎn)水平與消防安全設(shè)施以及火災(zāi)和其他應(yīng)急救援力量的種類和部署達(dá)到最佳平衡。
關(guān)于火災(zāi)風(fēng)險(xiǎn)對(duì)于滅火救援力量的影響，美國消防界對(duì)此的關(guān)注可以說幾經(jīng)反復(fù)，其間美國消防學(xué)院、NFPA等都做了許多工作。直至20世紀(jì)90年代，國際消防局長(zhǎng)協(xié)會(huì)成立了由150名專業(yè)人士組成的國際消防組織資質(zhì)認(rèn)定委員會(huì)（the Commission of Fire Accreditation International， CFAI），經(jīng)過9年的廣泛工作，制定了“消防應(yīng)急救援自我評(píng)估方法”，和制定標(biāo)準(zhǔn)的社區(qū)消防安全系統(tǒng)。另外，NFPA最終還制定了NFPA1710和1720兩個(gè)指導(dǎo)消防力量部署的標(biāo)準(zhǔn)，分別幫助職業(yè)消防隊(duì)和志愿消防隊(duì)和改進(jìn)為社區(qū)提供的消防救援的水平。根據(jù)NFPA最近的調(diào)查，NFPA1710將在全美30500個(gè)消防機(jī)構(gòu)中的3300～3600個(gè)得到正式的應(yīng)用，也推廣到加拿大有些地區(qū)。
英國對(duì)消防救援力量的部署標(biāo)準(zhǔn)是依據(jù)內(nèi)政部批準(zhǔn)的“風(fēng)險(xiǎn)指標(biāo)”，把消防隊(duì)的轄區(qū)劃分為“A”、“B”、“C”、“D”四類區(qū)域，名為“風(fēng)險(xiǎn)分級(jí)”系統(tǒng)。其目的是對(duì)消防隊(duì)的轄區(qū)進(jìn)行風(fēng)險(xiǎn)評(píng)估，確定轄區(qū)內(nèi)的各種風(fēng)險(xiǎn)區(qū)域，進(jìn)而確定該風(fēng)險(xiǎn)區(qū)域發(fā)生火災(zāi)后應(yīng)出動(dòng)的消防車數(shù)量和消防響應(yīng)時(shí)間。1995年，英國的審計(jì)委員會(huì)了一份題為“消防方針”的考察報(bào)告，認(rèn)為這種方法沒有充分考慮建筑設(shè)施的占用情況、社區(qū)的人口統(tǒng)計(jì)情況和社會(huì)經(jīng)濟(jì)因素，也沒有把建筑物內(nèi)的消防安全設(shè)施納入考核范圍。故而由審計(jì)委員會(huì)報(bào)告聯(lián)合工作組與內(nèi)政部的消防研究發(fā)展辦公室一起，設(shè)立了一個(gè)研究項(xiàng)目。該項(xiàng)目的目的是開發(fā)一套供消防機(jī)構(gòu)劃分區(qū)域的風(fēng)險(xiǎn)等級(jí)，對(duì)包括滅火在內(nèi)的所有應(yīng)急救援力量進(jìn)行部署，用于消防安全設(shè)施的規(guī)劃并能解決上述問題的風(fēng)險(xiǎn)評(píng)估方法，再對(duì)開發(fā)出的方法進(jìn)行測(cè)試。最后Entec公司開發(fā)出了計(jì)算軟件，并于1999年4月以內(nèi)政部的名義出臺(tái)了“風(fēng)險(xiǎn)評(píng)估工具箱”測(cè)試版。
參考文獻(xiàn)：
關(guān)鍵詞：風(fēng)險(xiǎn)；評(píng)估；可能性；后果
中圖分類號(hào)：F27文獻(xiàn)標(biāo)識(shí)碼：A
一、概述
風(fēng)險(xiǎn)評(píng)估有許多方法，工藝安全場(chǎng)景評(píng)估（簡(jiǎn)稱PSSE）是其中之一。這是一種在歐美應(yīng)用較廣泛的評(píng)估方法，特別適用于工業(yè)生產(chǎn)裝置的安全評(píng)估。該方法將一個(gè)項(xiàng)目或一套裝置按物理空間或功能細(xì)分為若干區(qū)域，然后逐項(xiàng)研究風(fēng)險(xiǎn)事件是什么，后果是什么。根據(jù)以往經(jīng)驗(yàn)及統(tǒng)計(jì)資料確定事件概率；根據(jù)經(jīng)驗(yàn)和一些調(diào)查統(tǒng)計(jì)，確定后果嚴(yán)重性；根據(jù)概率和后果將風(fēng)險(xiǎn)定級(jí)；對(duì)于高風(fēng)險(xiǎn)和較高風(fēng)險(xiǎn)，再研究應(yīng)對(duì)措施是什么，然后再評(píng)估采取了這些措施后風(fēng)險(xiǎn)會(huì)降低到什么程度。根據(jù)項(xiàng)目或裝置的復(fù)雜程度、大小規(guī)模等因素，定期復(fù)檢工藝安全場(chǎng)景評(píng)估，重新認(rèn)識(shí)風(fēng)險(xiǎn)，并重新評(píng)定風(fēng)險(xiǎn)等級(jí)。
PSSE是從風(fēng)險(xiǎn)事件發(fā)生的可能性、風(fēng)險(xiǎn)事件后果的嚴(yán)重性兩方面入手來評(píng)判一個(gè)風(fēng)險(xiǎn)事件的風(fēng)險(xiǎn)等級(jí)的。
可能性是指一個(gè)事件在多少年內(nèi)會(huì)重復(fù)發(fā)生一次，它分五級(jí)。（表1）
嚴(yán)重性是指該事件若發(fā)生，會(huì)造成多少損失，以美元計(jì)，它分五級(jí)。（表2）
然后，用一個(gè)矩形表格來定位該風(fēng)險(xiǎn)事件的風(fēng)險(xiǎn)等級(jí)，風(fēng)險(xiǎn)有四類：1類為嚴(yán)重風(fēng)險(xiǎn)；2類為較嚴(yán)重風(fēng)險(xiǎn)；3類為一般風(fēng)險(xiǎn)；4類為輕微風(fēng)險(xiǎn)。（表3）
表4是一個(gè)工藝安全場(chǎng)景評(píng)估表的具體例子。（表4）
二、對(duì)現(xiàn)行PSSE評(píng)分方法的討論
1、在評(píng)估過程中，先對(duì)某一風(fēng)險(xiǎn)事件的可能性展開討論，套用歐美國家的標(biāo)準(zhǔn)，帶來諸多不便，更帶來誤導(dǎo)。如，從C級(jí)可能性開始，以幾十年、幾百年、幾千年為一個(gè)檔次評(píng)判風(fēng)險(xiǎn)發(fā)生的可能性，可操作性很差。一個(gè)工業(yè)生產(chǎn)工廠，或一套民用運(yùn)行裝置，很少會(huì)設(shè)計(jì)成使用周期一百年，更不用說一千、一萬年，即沒有工業(yè)生產(chǎn)工廠或民用運(yùn)行裝置會(huì)被設(shè)計(jì)成防“萬年一遇”的風(fēng)險(xiǎn)事故。這樣，D級(jí)和E級(jí)二個(gè)可能性檔次等于空設(shè)。從表3風(fēng)險(xiǎn)等級(jí)表中也可發(fā)現(xiàn)，E例和D例幾乎都是4類風(fēng)險(xiǎn)（輕微風(fēng)險(xiǎn)）。
可能性C級(jí)所包含的時(shí)間跨度也設(shè)計(jì)得太長(zhǎng)。筆者認(rèn)為，絕大多數(shù)工業(yè)生產(chǎn)工廠或民用運(yùn)行裝置的生命周期都在30～100年之間，而風(fēng)險(xiǎn)事件重復(fù)發(fā)生的可能性千變?nèi)f化。所以，這段時(shí)間段可再細(xì)分，以更貼合實(shí)際。表5是筆者建議的、并在一個(gè)項(xiàng)目的安全評(píng)估中應(yīng)用的可能性分級(jí)表。（表5）
2、對(duì)損失的判斷是風(fēng)險(xiǎn)評(píng)估的又一個(gè)重要方面，套用歐美國家的損失評(píng)判標(biāo)準(zhǔn)，對(duì)于國內(nèi)大多數(shù)項(xiàng)目更有困難。如，引進(jìn)的標(biāo)準(zhǔn)對(duì)人員傷害的賠償（對(duì)項(xiàng)目而言即為損失）如下：
死亡及永久傷殘：10，000，000 US$
損失工作日的事故：30，000 US$
輕微傷害：3，000 US$
很顯然，我國國內(nèi)的賠償額遠(yuǎn)低于此標(biāo)準(zhǔn)。若套用此標(biāo)準(zhǔn)，會(huì)有兩方面的偏差：第一，許多國內(nèi)認(rèn)為是事故的事件，在這里不被當(dāng)作事故。第二，如按此標(biāo)準(zhǔn)賠付，項(xiàng)目損失極大。
考慮到國內(nèi)實(shí)際情況和《工傷保險(xiǎn)條例》，筆者建議對(duì)風(fēng)險(xiǎn)事件的嚴(yán)重性分級(jí)作如下修正，并用人民幣（RMB）為計(jì)量單位。（表6）
3、原評(píng)估方法中沒有關(guān)注環(huán)境保護(hù)問題。事實(shí)上，如果一個(gè)事故雖沒有造成人員損失或設(shè)備財(cái)產(chǎn)損失，但給環(huán)境帶來污染，其實(shí)后果也是很嚴(yán)重的。盡管有些時(shí)候，在有些地方，此類事故并不一定真的受到很大額的“罰款”，但從環(huán)境保護(hù)的角度看，這種事故應(yīng)視為大事故（即，后果嚴(yán)重的事故）。并且，注意到我國正越來越重視環(huán)保，筆者認(rèn)為應(yīng)當(dāng)在表4中增加一項(xiàng)考慮項(xiàng)目“是否有環(huán)境污染”。即，即使某一風(fēng)險(xiǎn)對(duì)其他方面的危害均很小，但只要有環(huán)境污染，就視為嚴(yán)重風(fēng)險(xiǎn)（1類風(fēng)險(xiǎn)）。
表7是一個(gè)改進(jìn)的工藝安全場(chǎng)景評(píng)估表的具體例子。（表7）
金融投資風(fēng)險(xiǎn)系數(shù)評(píng)估技術(shù)
1金融投資風(fēng)險(xiǎn)評(píng)估的常用技術(shù)
1.1均值―方差評(píng)估技術(shù)
均值―方差評(píng)估技術(shù)是一種用平均值來評(píng)估產(chǎn)品的預(yù)期收益，用方差來評(píng)估投資過程中風(fēng)險(xiǎn)系數(shù)的理論。每一個(gè)風(fēng)險(xiǎn)產(chǎn)生的概率所形成的數(shù)學(xué)期望如下：E（r）=。
此公式表示第i種證券投資的預(yù)期效益可能發(fā)生的概率值，E（r）則表示為預(yù)期收益。
金融投資風(fēng)險(xiǎn)的大小與也與很多不確定的因素有關(guān)，這些無法確定的因素產(chǎn)生風(fēng)險(xiǎn)的可能性大小可以用發(fā)生的損失距離期望的偏差來確定，這個(gè)偏差就叫做風(fēng)險(xiǎn)度。風(fēng)險(xiǎn)度的測(cè)量可以運(yùn)用標(biāo)準(zhǔn)差和方差以及變異系數(shù)等與之相關(guān)的數(shù)學(xué)指標(biāo)來進(jìn)行。方差公式如下：。
標(biāo)準(zhǔn)差公式如下：。標(biāo)準(zhǔn)差是方差的平方根。即標(biāo)準(zhǔn)差越大風(fēng)險(xiǎn)度也就越大。但是方差、平均值等作為絕對(duì)數(shù)來說，其數(shù)值的大小與各個(gè)單位的標(biāo)志值差異值也有關(guān)系，不一樣的樣本數(shù)據(jù)之間可比性程度一般較低。為了解決這一問題，需要運(yùn)用變異系數(shù)來衡量離散程度。變異系數(shù)等于標(biāo)準(zhǔn)差除以平均值，換算成公式就是V=σ/E（X）。變異系數(shù)的大小與資產(chǎn)組合的風(fēng)險(xiǎn)之間成正比。對(duì)于n個(gè)資產(chǎn)之間的組合形式，其方差的計(jì)算公式如下：
在此公式中x1+x2+...+xn=1，xi則代表第i中資產(chǎn)組合的投資比例數(shù)。整個(gè)公式所要表達(dá)的意思是，資產(chǎn)組合的方差是各個(gè)資產(chǎn)的獨(dú)立方差與它們彼此協(xié)方差的加權(quán)平均值。若組合投資足夠分散，那么投資的風(fēng)險(xiǎn)則主要由資產(chǎn)之間的協(xié)方差決定。
1.2β系數(shù)評(píng)估法
β值也是評(píng)估系統(tǒng)風(fēng)險(xiǎn)的一個(gè)重要指標(biāo)。它表示的是風(fēng)險(xiǎn)資產(chǎn)的預(yù)期收益值和其所需要承擔(dān)的市場(chǎng)風(fēng)險(xiǎn)之間的線性關(guān)系。公式如下：。在這個(gè)公式里，E（ri）代表了金融機(jī)構(gòu)的預(yù)期收益值，rf則代表了金融機(jī)構(gòu)無風(fēng)險(xiǎn)資產(chǎn)的收益值。
為了能夠方便計(jì)算，常用的評(píng)估法是經(jīng)過調(diào)整的β系數(shù)和收益率計(jì)算方式。即，收益率=（股票利潤收入+股票買賣價(jià)差）/股票買進(jìn)的價(jià)格=[±（最高價(jià)格-最低價(jià)格）]/[（最高價(jià)格+最低價(jià)格）/2]+1/市場(chǎng)利率。
1.3風(fēng)險(xiǎn)價(jià)值度評(píng)估方法
風(fēng)險(xiǎn)價(jià)值度英文縮寫為VaR，它嘗試為資產(chǎn)組合形式研究出一個(gè)單一的風(fēng)險(xiǎn)度量值，并且這一度量值還要能完全體現(xiàn)出金融機(jī)構(gòu)的整體風(fēng)險(xiǎn)。VaR的操作模式是：確定有x%的勝算在T時(shí)間段內(nèi)讓損失小于V0。此處的變量V即為資產(chǎn)組合的VaR，它是兩個(gè)變量T時(shí)間段和x%（置信區(qū)間）的函數(shù)。它對(duì)應(yīng)的是在N天時(shí)間內(nèi)x%的勝算下最大的交易損失值。
2金融投資風(fēng)險(xiǎn)評(píng)估技術(shù)在應(yīng)用中的問題及注意事項(xiàng)
2.1存在的問題
2.1.1評(píng)估滯后。上文中提到的β系數(shù)評(píng)估方法、VaR評(píng)估方法以及均值―方差評(píng)估方法，其基礎(chǔ)均為已經(jīng)存在的歷史數(shù)據(jù)。通過這些數(shù)據(jù)去對(duì)金融機(jī)構(gòu)未來的投資風(fēng)險(xiǎn)做出評(píng)估。雖然歷史和未來有著某種必然的關(guān)聯(lián)性，但是光靠歷史數(shù)據(jù)來評(píng)估未來風(fēng)險(xiǎn)顯然是不夠準(zhǔn)確的，也必然會(huì)存在很大的偏差。這種評(píng)估的滯后性最有可能導(dǎo)致最后評(píng)估結(jié)果的失真。
2.1.2風(fēng)險(xiǎn)測(cè)度不全面。所有的風(fēng)險(xiǎn)評(píng)估方法都需要先選擇樣本數(shù)據(jù)，那些被選的樣本數(shù)據(jù)代表了整個(gè)的樣本總體，因此樣本的數(shù)量多少與樣本的選擇方法直接影響了最終的風(fēng)險(xiǎn)評(píng)估結(jié)果。若選擇的樣本無法代表樣本總體的特征則會(huì)導(dǎo)致對(duì)投資風(fēng)險(xiǎn)的測(cè)度不夠全面的問題。在眾多的評(píng)估方法中，β系數(shù)評(píng)估法只測(cè)度了系統(tǒng)性風(fēng)險(xiǎn)，而對(duì)非系統(tǒng)性風(fēng)險(xiǎn)并沒有進(jìn)行評(píng)估。因此算是風(fēng)險(xiǎn)測(cè)度不全面的典型之一。
2.1.3不同的方法間數(shù)據(jù)結(jié)論存在沖突。在金融投資風(fēng)險(xiǎn)評(píng)估的過程中，不同的評(píng)估方法評(píng)測(cè)出的數(shù)據(jù)，由于理論基礎(chǔ)和樣本數(shù)據(jù)之間存在的差別，導(dǎo)致評(píng)估結(jié)果的各數(shù)據(jù)之間存在著一定的矛盾和沖突。
2.2金融投資風(fēng)險(xiǎn)評(píng)估技術(shù)在應(yīng)用過程中應(yīng)該注意的事項(xiàng)
2.2.1定性與量性分析相結(jié)合。在風(fēng)險(xiǎn)評(píng)估過程中，定性與量性分析相結(jié)合能夠有效提高風(fēng)險(xiǎn)評(píng)估的準(zhǔn)確性。因?yàn)榱啃苑治鲞壿嬓?、?yán)密性較強(qiáng)，其特有的逼真模型能夠持續(xù)反映出各種風(fēng)險(xiǎn)的趨勢(shì)，但也有其局限性所在，比如忽略了一些無法量化的重要因素對(duì)投資風(fēng)險(xiǎn)的影響。而此時(shí)定性分析則能夠迅速彌補(bǔ)定量分析的這個(gè)不足之處。
2.2.2綜合運(yùn)用多種評(píng)估方法，提高風(fēng)險(xiǎn)評(píng)估的準(zhǔn)確度。在對(duì)金融投資進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)，所采用的每一種方法都有其優(yōu)勢(shì)與不足。僅用其中一種方法做出的風(fēng)險(xiǎn)評(píng)估，顯然沒有多種方法相結(jié)合做出的評(píng)估準(zhǔn)確率高。因此應(yīng)該多提倡多種方法相結(jié)合的金融資產(chǎn)投資風(fēng)險(xiǎn)評(píng)估技術(shù)。
2.2.3對(duì)VaR評(píng)估方法進(jìn)行壓力測(cè)試。它一共有兩個(gè)步驟，一是產(chǎn)生極端市場(chǎng)變化的合理情景；二是在產(chǎn)生的不同情景之下對(duì)產(chǎn)品組合進(jìn)行定價(jià)。風(fēng)險(xiǎn)管理過程中的重要組成部分之一即壓力測(cè)試，它能夠促使金融機(jī)構(gòu)開始考慮那些在VaR評(píng)估方法中被忽視的卻又經(jīng)常出現(xiàn)的極端情景。一旦這些情景被審定，金融機(jī)構(gòu)就能立刻采取行動(dòng)來降低這些不利因素對(duì)自身所產(chǎn)生的影響。
3結(jié)束語
金融投資風(fēng)險(xiǎn)評(píng)估技術(shù)的準(zhǔn)確性高低直接關(guān)系到金融機(jī)構(gòu)最后的投資結(jié)果，關(guān)系到國家和人民的財(cái)產(chǎn)安全及保障。只有充分運(yùn)用現(xiàn)有的金融投資風(fēng)險(xiǎn)評(píng)估技術(shù)，充分發(fā)輝它們的優(yōu)勢(shì)，彌補(bǔ)它們的不足，避開其中的劣勢(shì)，注意每個(gè)評(píng)估方法之間的相互結(jié)合運(yùn)用。才能做出相對(duì)準(zhǔn)備的投資風(fēng)險(xiǎn)評(píng)估結(jié)果和判斷。
參考文獻(xiàn)：
[1]鄭浩.金融投資風(fēng)險(xiǎn)評(píng)估的技術(shù)與應(yīng)用研究[J].金融視線，2013.
一、如何看待安全預(yù)算
安全預(yù)算是各類企事業(yè)單位為保護(hù)信息資產(chǎn)，保證自身可持續(xù)發(fā)展而投入的資金，是一種預(yù)防行為。安全預(yù)算多少合適，是不是投入得太多了？雖然安全問題越來越受到重視，但是網(wǎng)絡(luò)安全事件仍然是呈現(xiàn)遞增趨勢(shì)。從安全預(yù)算角度分析原因：一是預(yù)算不足；二是預(yù)算不到位。
在國外，安全投入占企業(yè)基礎(chǔ)建設(shè)投入的5%～20%，這人比例在中國的企事業(yè)中卻很少超過2%。從風(fēng)險(xiǎn)的角度看，就是要平衡成本與風(fēng)險(xiǎn)之間的關(guān)系，用一百萬美金保護(hù)三十萬的資產(chǎn)，顯然是不可接受的，但是如果資產(chǎn)的價(jià)值超過了一千萬美金，產(chǎn)生的效益就顯而易見，目前用一個(gè)量化的方法來計(jì)算信息化建設(shè)對(duì)于戰(zhàn)略發(fā)展的貢獻(xiàn)確實(shí)比較難。一年下來，并沒有發(fā)生重大的信息安全事件，年初的安全預(yù)算可能就會(huì)被質(zhì)疑投入太多了；如果發(fā)生了不可接受的安全事件，那就成了預(yù)算部門的責(zé)任。安全預(yù)算到底夠不夠？我們可以通過宏觀的情況來分析一下風(fēng)險(xiǎn)與成本的關(guān)系，每年全球因安全問題導(dǎo)致的網(wǎng)絡(luò)損失已經(jīng)可以用萬億美元的數(shù)量級(jí)來計(jì)算，我國也有數(shù)百億美元的經(jīng)濟(jì)損失，然而安全方面的投入?yún)s不超過幾十億美元。由此可以看出，我國整體信息化建設(shè)，安全預(yù)算不足。
一個(gè)單位在安全方面投入了很多，但是仍然發(fā)生“不可接受的”信息安全事故。信息安全理論中有名的木桶理論，很好的解釋了這種現(xiàn)象。如很多企業(yè)每年在安全產(chǎn)品上投入大量資金，但是卻不關(guān)注內(nèi)部人員的考察、安全產(chǎn)品有效性的審核等安全要素，缺乏系統(tǒng)的、科學(xué)的管理體系支持，都是導(dǎo)致這種結(jié)果產(chǎn)生的原因。
二、 科學(xué)制定安全預(yù)算
信息安全的預(yù)算如何制定？其實(shí)要解決的就是預(yù)算多少和怎么用的問題。說安全預(yù)算難做，一是因?yàn)樾畔踩婕暗胶芏喾矫娴膯栴}，例如：人員安全、物力安全、訪問控制、符合法律法規(guī)等等。二是很難依據(jù)某種科學(xué)的量化的輸入得出具體的預(yù)算費(fèi)用。安全預(yù)算是否合理，應(yīng)該關(guān)注以下幾個(gè)方面：（1）是否“平衡”了成本與風(fēng)險(xiǎn)的關(guān)系；（2）是否真正用于降低或者消除信息安全風(fēng)險(xiǎn)，而不是引入了新的不可接受風(fēng)險(xiǎn)；（3）被關(guān)注的風(fēng)險(xiǎn)是否具有較高的優(yōu)先等級(jí)。
信息安全風(fēng)險(xiǎn)評(píng)估恰恰解決了以上問題，通過制定科學(xué)的風(fēng)險(xiǎn)評(píng)估方法、程序，對(duì)那些起到關(guān)鍵作用的信息和信息資產(chǎn)進(jìn)行評(píng)估，得出面臨的風(fēng)險(xiǎn)，然后針對(duì)不同風(fēng)險(xiǎn)制定相應(yīng)的處理計(jì)劃，提出所需要的資源，從而利用風(fēng)險(xiǎn)評(píng)估輔助安全預(yù)算的制定。
三、 風(fēng)險(xiǎn)評(píng)估過程
目前國際和國內(nèi)都有一些比較成熟的風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)及指南，通常包括下述幾個(gè)過程：（1） 確定評(píng)估的范圍、目的、評(píng)估組、評(píng)估方法等；（2）識(shí)別評(píng)估范圍內(nèi)的信息資產(chǎn)；（3）識(shí)別對(duì)于這些資產(chǎn)的威脅；（4）識(shí)別可能利用這些威脅的薄弱點(diǎn)；（5）識(shí)別信息資產(chǎn)的損失給單位帶來的影響；（6）識(shí)別威脅時(shí)間發(fā)生的可能性；（7）根據(jù)“影響”及“可能性”計(jì)算風(fēng)險(xiǎn)；（8）確定風(fēng)險(xiǎn)等級(jí)及可接受風(fēng)險(xiǎn)的等級(jí)。
