在现代社会中,随着信息技术的高速发展和信息管理理论的日益成熟,人们对于信息安全概念的认识,正经历一个从保密到保护,又发展到保障的逐渐理性的发展过程。信息安全问题不仅仅由技术因素引起,它还涉及到人和社会的因素。因此,我们可以推出只靠技术是不能有效地解决信息安全问题的。只有依靠科学有效的管理和有着良好管理信息系统知识背景的专业人员,实施综合规范的保障手段,才能取得良好的效果。传统信息系统安全风险评估从系统运行维护环境出发,分析其漏洞和威胁。而这种单从“查缺补漏”的角度对系统运行阶段进行安全风险分析是不够的,必须建立起完善的风险管理体制,把风险评估思想提高至整个信息系统生命周期的高度上。本文正是针对这一点,在信息系统生命周期的最后一个阶段——系统运行维护阶段——进行风险评估工作的研究,使得系统在运行维护设计完成之后,在后期的运行维护中找出之前没有发现的隐藏的安全隐患以及由于实际与理论不一致出现的新问题的解决。本文以系统安全工程能力成熟模型(SSE-CMM)为理论指导,基于过程改善的思想,对信息系统运行维护阶段风险特点进行了阐述,给出了运行维护阶段风险评估的实施要点,并结合目前风险评估理论,提出了信息系统运行维护阶段风险的层次指标体系。本文将系统运行维护阶段的风险体系分为三个层次,并针对具体风险指标进行了风险来源、影响范围和防范措施的详细描述,为风险评估和风险控制提供了理论依据;在此基础上,本文应用模糊综合评价法与层次分析法的集成方法,给出系统运行维护阶段风险评估的计算过程,根据风险结果值可以找出企业信息系统运行维护过程中的关键环节,为风险控制工作有的放矢的进行打下了基础。在最后一章中,本文以实际运行维护案例为依据,给出实证分析,验证了模型。