1、第一部分風(fēng)險評價新年伊始隨著公司業(yè)務(wù)量越來越多，給公司帶來了希望也帶來了風(fēng)險，對作業(yè)環(huán)境的風(fēng)險評價和作業(yè)崗位的風(fēng)險評價工作日顯重要，目前從提交的安全管控方案等安全資料上看都存在著一些問題，在此公司安全環(huán)保部原與大家共同學(xué)習(xí)第一部分風(fēng)險識別與評價什么是風(fēng)險評價風(fēng)險評價（Risk Assessment） 是指，在風(fēng)險事件發(fā)生之前或之后（但還沒有結(jié)束），該事件給人們的生活、生命、財產(chǎn)等各個方面造成的影響和損失的可能性進(jìn)行量化評價的工作。即，風(fēng)險評價就是量化測評某一事件或事物帶來的影響或損失的可能程度。從信息安全的角度來講，風(fēng)險評價是對信息資產(chǎn)（即某事件或事物所具有的信息集）所面臨的威脅、存在的弱點、

2、造成的影響，以及綜合作用所帶來風(fēng)險的可能性的評價。風(fēng)險評價任務(wù)風(fēng)險評價的主要任務(wù)包括： 識別組織(或稱項目)面臨的各種風(fēng)險 評價風(fēng)險概率和可能帶來的負(fù)面影響 確定組織(或稱項目)承受風(fēng)險的能力 確定風(fēng)險消減和控制的優(yōu)先等級 推薦風(fēng)險消減對策 風(fēng)險評價過程注意事項在風(fēng)險評價過程中，有幾個關(guān)鍵的問題需要考慮。首先，要確定保護(hù)的對象（資產(chǎn)、人、其它）是什么？它的直接和間接價值如何？其次，資產(chǎn)、人、其它面臨哪些潛在威脅？導(dǎo)致威脅的問題所在？威脅發(fā)生的可能性有多大？ 第三，資產(chǎn)、人、其它中存在哪里弱點可能會被威脅？第四，一旦威脅事件發(fā)生，組織(或稱項目)會遭受怎樣的損失或者面臨怎樣的負(fù)面影響？最后，組織

3、(或稱項目)應(yīng)該采取怎樣的安全措施才能將風(fēng)險帶來的損失降低到最低程度？ 解決以上問題的過程，就是風(fēng)險評價的過程。 進(jìn)行風(fēng)險評價時，有幾個對應(yīng)關(guān)系必須考慮：每項資產(chǎn)可能面臨多種威脅 威脅源（威脅代理）可能不止一個 每種威脅可能利用一個或多個弱點 +風(fēng)險評價的可行途徑在風(fēng)險管理的前期準(zhǔn)備階段，組織(或稱項目)已經(jīng)根據(jù)安全目標(biāo)確定了自己的安全戰(zhàn)略，其中重要的就是對風(fēng)險評價戰(zhàn)略的考慮。所謂風(fēng)險評價戰(zhàn)略，其實就是進(jìn)行風(fēng)險評價的途徑，也就是規(guī)定風(fēng)險評價應(yīng)該延續(xù)的操作過程和方式。 風(fēng)險評價的操作范圍可以是整個組織，也可以是組織中的某一部分，或者獨立的信息系統(tǒng)、特定系統(tǒng)組件和服務(wù)。針對檢修公司而言可以是公司級

4、的或部門級（管理部門或作業(yè)部門）的、班組級的（作業(yè)部下的技術(shù)組或班組）。影響風(fēng)險評價進(jìn)展的某些因素，包括評價時間、力度、展開幅度和深度，但這些都應(yīng)與組織(或稱項目)的環(huán)境和安全要求相符合。風(fēng)險評價的優(yōu)點在于： 1、組織(或稱項目)可以通過詳細(xì)的風(fēng)險評價而對信息安全風(fēng)險有一個精確的認(rèn)識，并且準(zhǔn)確定義出組織(或稱項目)目前的安全水平和安全需求； 2、評價的結(jié)果可用來管理安全變化。當(dāng)然，風(fēng)險評價可能是非常耗費資源的過程，包括時間、精力和技術(shù)。 常用風(fēng)險評價方法-格雷厄姆風(fēng)險評價方法(LEC法)LEC法是一種常用的風(fēng)險評價方法，可采取計算每一項已辨識出的危險源所帶來的風(fēng)險。其風(fēng)險值D由三個主要因素L、

5、E、C的指標(biāo)值的乘積表示，即D=LEC。    三種主要因素的評價方法為：    L發(fā)生事故的可能性大小。事故發(fā)生的可能性大小用概率來表示時，絕對不可能發(fā)生的事故概率為0，必然發(fā)生的事故概率為1，因此人為的將發(fā)生事故可能極小的分?jǐn)?shù)定為0.1，必然要發(fā)生事故的分?jǐn)?shù)可定為10，介于這兩者之間的情況定為若干中間值，如下表：    E暴露于危險環(huán)境中頻繁程度。人員出現(xiàn)在危險環(huán)境中的時間越多，發(fā)生危險性越大。規(guī)定連續(xù)出現(xiàn)在危險環(huán)境的情況為10，而非常罕見地出現(xiàn)在危險環(huán)境中為0.5，介于兩者之間的各種情況規(guī)定若干個中

6、間值，如下表：     C事故產(chǎn)生的后果。事故造成人身傷害與財產(chǎn)損失變化范圍很大，所以規(guī)定分?jǐn)?shù)值在1100之間。輕微傷害或較小財產(chǎn)損失的分類規(guī)定為1，造成人員傷亡較大的可能性規(guī)定為100，其他情況的數(shù)值在1100之間，如下表： D風(fēng)險值。DL×E×C，確定D值后關(guān)鍵是如何確定風(fēng)險級別的界限值，而這個界限值并不是長期固定不變的；在不同時期可根據(jù)具體情況確定風(fēng)險級別的界限值，以確定持續(xù)改進(jìn)的措施。如下表：LEC法雖然比較科學(xué)，但卻難以確定各種因素的準(zhǔn)確數(shù)據(jù)。確定各種因素的數(shù)據(jù)時，需要建立在經(jīng)驗判斷的基礎(chǔ)上。如發(fā)生事故的可能性（）和發(fā)生事故產(chǎn)生的后果（），對同一工作過程，不同的人員可能得出不同的評價結(jié)果。