信息安全研究和实践是当前的热点问题之一,随着信息安全建设工作的逐渐深入,一个日益突出和重要的问题是“信息安全建设的效果如何,对业务应用究竟有怎样的影响,应该用什么样方法来精确度量”。本文提出了一种基于业务流程的信息安全风险度量方法,尝试解决信息安全风险评估领域的两个难题：(1)如何精确度量信息安全风险,使其在一定程度上能直接反映信息安全对业务的影响；(论文中对业务影响的分析仅限定在对业务流程流转周期的影响方面,因为它是体现信息系统能否及时、有效的提供服务,以完成预定的业务目标的重要指标。)(2)如何有效利用信息安全风险度量结果,在适度安全的理念下,来选择安全措施。主要研究内容包括：(1)威胁成功利用脆弱性的递归分析信息安全风险发生与否取决于威胁对脆弱性的利用情况,为确定威胁与脆弱性之间的复杂关系需解决如下问题：a、确定威胁利用脆弱性的可能路径,该路径由网络拓扑结构决定；b、脆弱性之间存在关联关系,本文引入“部件可控制程度和可利用程度”概念递归分析威胁成功利用脆弱性的过程及其结果。(2)威胁成功利用脆弱性后对业务流程的影响分析威胁成功利用脆弱性将导致威胁对象(即IT资产,本文称之为威胁路径上的节点)的运行状态发生变化。业务流程的的基本构成单元是业务活动,不同的节点状态变化将对业务活动状态产生不同的影响。业务活动的状态变化构成一个有限状态机。本文通过建立节点状态与业务活动有限状态机之间的关系,将威胁成功利用脆弱性后对业务的影响问题,转换为节点状态变化与业务活动有限状态机之间的关系问题。(3)基于业务流程分析的风险计算信息安全的宗旨是保障信息系统的正常有效运行(业务处理能力)的实现,而业务流程的流转周期是表征业务处理能力的重要指标。因此,本文尝试将流转周期作为风险影响的度量基准。业务活动的状态变化是影响流转周期变化的决定性因素,在建立了节点状态与业务活动有限状态机之间的关系之后,以流程流转周期作为业务影响的度量基准,最终将信息安全风险计算问题转换为求解流转周期的变化问题。(4)基于风险度量的安全策略决策模型将前文所提出的风险度量方法得到的结果作为安全策略选择的依据,并针对单业务流程应用结构,建立了形式化的安全策略决策模型,确定在可容忍的风险范围内,所需安全策略的最少数量。(5)对信息安全风险评估的评价方法信息安全风险评估方式和方法很多,如何评价评估是否适合当前的安全需求?本文对此归纳出评估的构成要素<评估依据、业务关注度、度量方法、评估成果、过程保障>,将其作为信息安全风险评估方法的评价指标。