信息安全风险评估是对特定信息系统目前的安全状况,以及该系统所拥有的信息资产的价值给予定性或定量的评估。它是信息系统安全风险管理的前提和基础。风险评估方法的合理性、准确性直接影响着需求分析结果和安全策略的准确性。没有信息安全风险评估过程,或者没有恰当的风险评估方法,就不可能实现系统安全风险控制的最优化。因此,随着信息化进程的发展,信息安全风险评估作为技术应用基础研究课题,在信息安全领域的前列有着越来越重要的意义。系统的风险评估工作包括了管理和技术两大方面,然而怎样将两方面有效地结合起来是目前风险评估中的一大难题。现在通用的风险评估方法和工具总是存在管理和技术结合不紧密的缺陷,从总体上可以将他们划分为两大类:偏向技术类和偏向管理类。偏向技术类的方法和工具不能全面有效的识别各种隐藏在系统管理组织、人员安全等方面的安全风险,同时,其风险评估的结果也缺乏可比性;偏向管理类的方法和工具缺乏技术指导和支持,其评估结果也缺乏准确性和有效性。因此,目前风险评估领域内的研究热点是建立一种管理与技术相结合的具体的风险评估方法,该方法需要具有通用性和普遍性。为解决上述问题,本文建立了一个独立完整的风险评估方法——基于业务流程的层次化信息安全风险评估方法。该方法通过对被评估系统进行层次化分解,建立层次化系统特征描述模型,将系统中涉及的各种因素(组织管理、应用系统、基础设施等)进行抽象化地描述,并根据系统具体的业务流程进行层次化地风险分析,结合信息资产价值量的评价实现对系统可能存在的种种风险的整体预测和评估。其中层次化系统特征描述模型是实现管理和技术结合的关键,它将系统的组织管理部分纳入了被评估的范畴,并用纯技术的手段进行风险分析,因此使评估过程最终实现了两个方面的量化和有效结合,促进了国内信息安全风险评估工作的发展。本文根据上述方法完成的风险评估工具提供了一个以安全标准ISO/IEC 17799 作为控制措施的参考库,参考库易于扩充,可以包含更多的评估标准和策略,提高了针对各种对象的风险评估工作的效率和结果的可信度与可比性。