一个威胁中心的信息安全风险评估模型 (2009年)

信息安全风险评估通过对资产、弱点、控制措施和威胁4个风险要素的识别与评估的综合获取被评估系统的风险值或风险级别,这4个风险要素之间存在复杂的关系,给风险评估的实施带来困难。依据最新的国际、国内风险评估标准,提出一个基本的3层评估体系结构和以威胁为中心的风险评估模型,将其他风险要素的评估结果统一到威胁风险评估中,清晰呈现了4个风险要素之间的关系,并适合于定性、定量或综合评估方法的实现。另外,3层体系结构也能用于实现不同细节层次上的风险评估的迭代循环。最后给出了模糊理论评价法在此模型中的具体实现。