公司采取的风险评价的方法有哪些

‘壹’ 风险评估的方法有哪些

一、风险评估的准备

风险评估的准备过程是组织进行风险评估的基础，是整个风险评估过程有效性的保证。组织对自身信息及信息系统进行风险评估是一种战略性的考虑，其结果将受组织的商业需求及战略目标、文化、业务流程、安全要求、规模和结构所影响。不同组织对于风险评估过程中的各种子过程可能存在不同的要求，因此在风险评估实施前，组织应：

1．确定风险评估的范围； 2．确定风险评估的目的，为风险评估的实施提供导向； 3．建立适当的组织结构； 4．建立系统性的风险评估方法；5．获得最高管理者对风险评估策划的批准。

二、风险评估的实施

组织应根据策划的结果，由评估的人员按照相应的职责和程序进行资产评估、威胁评估、脆弱性评估。在考虑已有安全措施的情况下，利用适当的方法与工具确定威胁利用资产脆弱性发生安全事件的可能性，并结合资产的安全属性受到破坏后的影响来得出资产的安全风险。

风险计算

我们以下述函数进行表示：

R= f(A,V,T)=f(Ia,L(Va,T))

其中：R表示风险；A表示资产；V表示脆弱性；T表示威胁； Ia表示资产发生安全事件后对组织业务的影响(也称为资产的重要程度); Va表示某一资产本身的脆弱性，L表示威胁利用资产的脆弱性造成安全事件发生的可能性。
具体而言分为以下几个步骤：

1．首先对资产的弱点进行排序；

2．针对每一个弱点，确定可能利用此弱点造成安全事件的威胁的类型；

3．给确定的威胁赋值；

4．将威胁值与脆弱点值相乘，得出安全事件发生的可能性；即：安全事件发生可能性=L（威胁可能性，脆弱点严重性）；

5．根据资产的重要程度以及安全事件发生的可能性计算风险值，即：风险值=R（资产重要程度，安全事件发生的可能性）。

四、风险识别
风险识别包括三个部分：分析风险来源；识别区域风险；风险关联分析。

1．分析风险来源
经过资产、威胁、脆弱性的计算后形成一个风险列表，需要对该列表的风险进行分类，并在分类的基础上进行风险合并。在对风险进行分类合并时，首先需要考虑风险所发生的位置，然后考虑风险的来源。风险的来源可以从威胁、脆弱性和安全管理三个方面进行。

风险发生的位置可以从资产所在的安全域或从信息安全发生的层次进行划分。资产所在的安全域指具有相同安全属性的某一物理区域或逻辑区域，该区域和其他安全区域具有明显的边界；信息安全发生的层次指物理层安全、网络层安全、操作系统层安全、应用层安全、数据层安全。风险的来源从威胁角度进行合并，可以从威胁的来源，发生的途经，影响的大小角度进行划分整理。风险的来源从脆弱性角度进行合并，从大的方面有两类，一类是IT技术类脆弱性，另一类是管理类脆弱性。安全管理类脆弱性可以从设计、开发、验收、运行、维护、人员、业务持续性管理等方面进行分析。

‘贰’ 风险评价4种方法

在风险评估过程中，可以采用多种操作方法，包括基于知识（Knowledge-based）的分析方法、基于模型（Model-based）的分析方法、定性（Qualitative）分析和定量（Quantitative）分析，无论何种方法，共同的目标都是找出组织信息资产面临的风险及其影响，以及目前安全水平与组织安全需求之间的差距。一、基于知识的分析方法在基线风险评估时，组织可以采用基于知识的分析方法来找出目前的安全状况和基线安全标准之间的差距。基于知识的分析方法又称作经验方法，它牵涉到对来自类似组织（包括规模、商务目标和市场等）的“最佳惯例”的重用，适合一般性的信息安全社团。采用基于知识的分析方法，组织不需要付出很多精力、时间和资源，只要通过多种途径采集相关信息，识别组织的风险所在和当前的安全措施，与特定的标准或最佳惯例进行比较，从中找出不符合的地方，并按照标准或最佳惯例的推荐选择安全措施，最终达到消减和控制风险的目的。基于知识的分析方法，最重要的还在于评估信息的采集，信息源包括：1.会议讨论；2.对当前的信息安全策略和相关文档进行复查；3.制作问卷，进行调查；4.对相关人员进行访谈；5.进行实地考察。为了简化评估工作，组织可以采用一些辅助性的自动化工具，这些工具可以帮助组织拟订符合特定标准要求的问卷，然后对解答结果进行综合分析，在与特定标准比较之后给出最终的推荐报告。市场上可选的此类工具有多种，Cobra 就是典型的一种。二、基于模型的分析方法2001 年1 月，由希腊、德国、英国、挪威等国的多家商业公司和研究机构共同组织开发了一个名为CORAS 的项目，即Platform for Risk Analysis of Security Critical Systems。该项目的目的是开发一个基于面向对象建模特别是UML 技术的风险评估框架，它的评估对象是对安全要求很高的一般性的系统，特别是IT 系统的安全。CORAS 考虑到技术、人员以及所有与组织安全相关的方面，通过CORAS 风险评估，组织可以定义、获取并维护IT 系统的保密性、完整性、可用性、抗抵赖性、可追溯性、真实性和可靠性。与传统的定性和定量分析类似，CORAS 风险评估沿用了识别风险、分析风险、评价并处理风险这样的过程，但其度量风险的方法则完全不同，所有的分析过程都是基于面向对象的模型来进行的。CORAS 的优点在于：提高了对安全相关特性描述的精确性，改善了分析结果的质量；图形化的建模机制便于沟通，减少了理解上的偏差；加强了不同评估方法互操作的效率；等等。三、定量分析进行详细风险分析时，除了可以使用基于知识的评估方法外，最传统的还是定量和定性分析的方法。定量分析方法的思想很明确：对构成风险的各个要素和潜在损失的水平赋予数值或货币金额，当度量风险的所有要素(资产价值、威胁频率、弱点利用程度、安全措施的效率和成本等)都被赋值，风险评估的整个过程和结果就都可以被量化了。简单说，定量分析就是试图从数字上对安全风险进行分析评估的一种方法。定量风险分析中有几个重要的概念：暴露因子(Exposure Factor，EF)—— 特定威胁对特定资产造成损失的百分比，或者说损失的程度。单一损失期望(Single Loss Expectancy，SLE)—— 或者称作SOC(Single OccuranceCosts)，即特定威胁可能造成的潜在损失总量。年度发生率(Annualized Rate of Occurrence，ARO)—— 即威胁在一年内估计会发生的频率。年度损失期望(Annualized Loss Expectancy，ALE)—— 或者称作EAC(EstimatedAnnual Cost)，表示特定资产在一年内遭受损失的预期值。考察定量分析的过程，从中就能看到这几个概念之间的关系：(1) 首先，识别资产并为资产赋值；(2) 通过威胁和弱点评估，评价特定威胁作用于特定资产所造成的影响，即EF(取值在0％~100%之间)；(3) 计算特定威胁发生的频率，即ARO；(4) 计算资产的SLE：SLE = Asset Value × EF(5) 计算资产的ALE：ALE = SLE × ARO这里举个例子：假定某公司投资500,000 美元建了一个网络运营中心，其最大的威胁是火灾，一旦火灾发生，网络运营中心的估计损失程度是45％。根据消防部门推断，该网络运营中心所在的地区每5 年会发生一次火灾，于是我们得出了ARO 为0.20 的结果。基于以上数据，该公司网络运营中心的ALE 将是45,000 美元。我们可以看到，对定量分析来说，有两个指标是最为关键的，一个是事件发生的可能性(可以用ARO 表示)，另一个就是威胁事件可能引起的损失(用EF 来表示)。理论上讲，通过定量分析可以对安全风险进行准确的分级，但这有个前提，那就是可供参考的数据指标是准确的，可事实上，在信息系统日益复杂多变的今天，定量分析所依据的数据的可靠性是很难保证的，再加上数据统计缺乏长期性，计算过程又极易出错，这就给分析的细化带来了很大困难，所以，目前的信息安全风险分析，采用定量分析或者纯定量分析方法的已经比较少了。四、定性分析定性分析方法是目前采用最为广泛的一种方法，它带有很强的主观性，往往需要凭借分析者的经验和直觉，或者业界的标准和惯例，为风险管理诸要素(资产价值，威胁的可能性，弱点被利用的容易度，现有控制措施的效力等)的大小或高低程度定性分级，例如“高”、“中”、“低”三级。定性分析的操作方法可以多种多样，包括小组讨论(例如Delphi 方法)、检查列表(Checklist)、问卷(Questionnaire)、人员访谈(Interview)、调查(Survey)等。定性分析操作起来相对容易，但也可能因为操作者经验和直觉的偏差而使分析结果失准。与定量分析相比较，定性分析的准确性稍好但精确性不够，定量分析则相反；定性分析没有定量分析那样繁多的计算负担，但却要求分析者具备一定的经验和能力；定量分析依赖大量的统计数据，而定性分析没有这方面的要求；定性分析较为主观，定量分析基于客观；此外，定量分析的结果很直观，容易理解，而定性分析的结果则很难有统一的解释。组织可以根据具体的情况来选择定性或定量的分析方法。

‘叁’ 风险评价方法有三种

风险评价方法不止三种，比较常用的有五种，分别如下：

1、成本效益分析法：分析风险发生之后采取相关措施需要付出什么代价，以及成效如何；

2、权衡分析法：把每个风险所产生的后果进行比较，从而分析风险带来的影响；

3、风险效益分析法：分析采取某个措施之后，需要承担什么样的风险才能产生成效；

4、统计型评价法：对已经发生的风险所记录的数据进行分析评估；

5、综合分析法：将风险的构成要件以统计学的方式进行计算分析。

风险评价分类

1、依据评价的阶段不同，可以分成事前评价、事后评价和中间评价三个类型；

2、依据评价的角度不同，可以分成技术评价、社会评价和经济评价三个类型；

3、依据评价的方法不同，可以分成定性评价、综合评价和定量评价三个类型；

4、依据风险管理内容不同，可以分成工厂设计风险评价、化学物质的物理化学风险评价等。

‘肆’ 风险评价方法有三种

风险评价方法不止三种，有常见以下五种：扮御
：1.成本效益分析方法：分析风险发生后采取相关措施的成本和效果；
2.权衡分析方法:比较每个风险的后果，分析风险的影响；
3.风险效益分析方法:采取一定措施后，需要承担哪些风险才能生效；
4.统计评价方法:分析评估已发生风险记录的数败缺档据；
5.综合分析法以统计的方式计算分析风险察乱的构成要素。

‘伍’ 风险评估的方法主要有

常用方法编辑
方法
一、风险因素分析法
风险因素分析法是指对可能导致风险发生的因素进行评价分析，从而确定风险发生概率大小的风险评估方法。其一般思路是：调查风险源→识别风险转化条件→确定转化条件是否具备→估计风险发生的后果→风险评价。
二、模糊综合评价法
三、内部控制评价法
内部控制评价法是指通过对被审计单位内部控制结构的评价而确定审计风险的一种方法。由于内部控制结构与控制风险直接相关，因而这种方法主要在控制风险的评估中使用。注册会计师对于企业内部控制所做出的研究和评价可分为三个步骤：
四、分析性复核法
分析性复核法是注册会计师对被审计单位主要比率或趋势进行分析，包括调查异常变动以及这些重要比率或趋势与预期数额和相关信息的差异，以推测会计报表是否存在重要错报或漏报可能性。常用的方法有比较分析法、比率分析法、趋势分析法三种。
五、定性风险评价法
定性风险评价法是指那些通过观察、调查与分析，并借助注册会计师的经验、专业标准和判断等能对审计风险进行定性评估的方法。它具有便捷、有效的优点，适合评估各种审计风险。主要方法有：观察法、调查了解法、逻辑分析法、类似估计法。
六、风险率风险评价法
风险率风险评价法是定量风险评价法中的一种。它的基本思路是：先计算出风险率，然后把风险率与风险安全指标相比较，若风险率大于风险安全指标，则系统处于风险状态，两数据相差越大，风险越大。
风险率等于风险发生的频率乘以风险发生的平均损失，风险损失包括无形损失，无形损失可以按一定标准折换或按金额进行计算。风险安全指标则是在大量经验积累及统计运算的基础上，考虑到当时的科学技术水平、社会经济情况、法律因素以及人们的心理因素等确定的普遍能够接受的最低风险率。风险率风险评价法可在会计师事务所以及注册会计师行业风险管理中使用。

‘陆’ 风险评价方法 风险评估方法包括

1 、风险因素分析法：风险因素分析法是指对可能会让风险发生的原因进行分析，从而确定风险发生的概率的风险评估方法；

2 、内控制度点评法：是指通过对被审核企业内部系统的点评而明确财务审计风险；

3 、剖析性核查法：剖析性核查法是注册会计对被审核企业主要比例或发展趋势进行剖析，以推断财务会计报表是不是存有关键错报或少报概率；

4 、判定风险点评法：判定风险点评法是指这些通过观查、调研与剖析，并依靠注册会计的经验、专业规范和分辨等能对财务审计风险进行判定评定的方式；

5 、风险率风险点评法：风险率风险点评法是定量分析风险点评法之一。

以上就是风险评价方法的相关内容。

风险评价简介

风险评价，又被称为安全性评价，是指在风险鉴别和可能的基础上，综合性考虑到风险产生的几率、损害力度及其别的因素，得到系统产生风险的概率以及水平，并与认可的检测标准进行比较，明确公司的风险级别，从而判断是不是需要采用控制方法，及其控制到什么水平。本文主要写的是风险评价方法的有关知识点，内容仅作参考。

‘柒’ 安全风险识别和评估的方法有哪些

常用的几种方法：

1.工作危害分析法(JHA)

工作危害分析法是一种定性的风险分析辨识方法，它是基于作业活动的一种风险辨识技术，用来进行人的不安全行为、物的不安全状态、环境的不安全因素以及管理缺陷等的有效识别。

2. 安全检查表分析法(SCL)

安全检查表法是一种定性的风险分析辨识方法，它是将一系列项目列出检查表进行分析，以确定系统、场所的状态是否符合安全要求，通过检查发现系统中存在的风险，提出改进措施的一种方法。

3. 风险矩阵分析法(LS)

风险矩阵分析法是一种半定量的风险评价方法,它在进行风险评价时，将风险事件的后果严重程度相对的定性分为若干级，将风险事件发生的可能性也相对定性分为若干级，然后以严重性为表列，以可能性为表行，制成表，在行列的交点上给出定性的加权指数。

4.作业条件危险性分析法(LEC)

作业条件危险性分析法是一种半定量的风险评价方法,它用与系统风险有关的三种因素指标值的乘积来评价操作人员伤亡风险大小。三种因素分别是：L(事故发生的可能性)、E(人员暴露于危险环境中的频繁程度)和C(一旦发生事故可能造成的后果)。

5.风险程度分析法(MES)

风险程度分析法是是一种半定量的风险评价方法,它是对作业条件危险性分析法(LEC)的改进。

风险评估在一个企业中，诱发安全事故的因素很多，“安全风险评估”能为全面有效落实安全管理工作提供基础资料．并评估出不同环境或不同时期的安全危险性的重点，加强安全管理，采取宣传教育、行政、技术及监督等措施和手段，推动各阶层员工做好每项安全工作。

使企业每位员工都能真正重视安全工作，让其了解及掌握基本安全知识，这样，绝大多数安全事故均是可以避的。这也是安全风险评估的价值所在。