风险评价4种方法
在风险评估过程中，可以采用多种作方法，包括基于知识（Knowledge-based）的分析方法、基于模型（Model-based）的分析方法、定性（Qualitative）分析和定量（Quantitative）分析，无论何种方法，共同的目标都是找出组织信息资产面临的风险及其影响，以及目前安全水平与组织安全需求之间的距。一、基于知识的分析方法在基线风险评估时，组织可以采用基于知识的分析方法来找出目前的安全状况和基线安全标准之间的距。基于知识的分析方法又称作经验方法，它牵涉到对来自类似组织（包括规模、商务目标和市场等）的“惯例”的重用，适合一般性的信息安全社团。采用基于知识的分析方法，组织不需要付出很多精力、时间和资源，只要通过多种途径采集相关信息，识别组织的风险所在和当前的安全措施，与特定的标准或惯例进行比较，从中找出不符合的地方，并按照标准或惯例的选择安全措施，最终达到消减和控制风险的目的。基于知识的分析方法，最重要的还在于评估信息的采集，信息源包括：1.会议讨论；2.对当前的信息安全策略和相关文档进行复查；3.制作问卷，进行调查；4.对相关人员进行访谈；5.进行实地考察。为了简化评估工作，组织可以采用一些辅助性的自动化工具，这些工具可以帮助组织拟订符合特定标准要求的问卷，然后对解答结果进行综合分析，在与特定标准比较之后给出最终的报告。市场上可选的此类工具有多种，Cobra 就是典型的一种。二、基于模型的分析方法2001 年1 月，由希腊、德国、英国、挪威等国的多家商业公司和研究机构共同组织开发了一个名为CORAS 的项目，即Platform for Risk Analysis of Security Critical Systems。该项目的目的是开发一个基于面向对象建模特别是UML 技术的风险评估框架，它的评估对象是对安全要求很高的一般性的系统，特别是IT 系统的安全。CORAS 考虑到技术、人员以及所有与组织安全相关的方面，通过CORAS 风险评估，组织可以定义、获取并维护IT 系统的保密性、完整性、可用性、抗抵赖性、可追溯性、真实性和可靠性。与传统的定性和定量分析类似，CORAS 风险评估沿用了识别风险、分析风险、评价并处理风险这样的过程，但其度量风险的方法则完全不同，所有的分析过程都是基于面向对象的模型来进行的。CORAS 的优点在于：提高了对安全相关特性描述的性，改善了分析结果的质量；图形化的建模机制便于沟通，减少了理解上的偏；加强了不同评估方法互作的效率；等等。三、定量分析进行详细风险分析时，除了可以使用基于知识的评估方法外，最传统的还是定量和定性分析的方法。定量分析方法的思想很明确：对构成风险的各个要素和潜在损失的水平赋予数值或货金额，当度量风险的所有要素(资产价值、威胁频率、弱点利用程度、安全措施的效率和成本等)都被赋值，风险评估的整个过程和结果就都可以被量化了。简单说，定量分析就是试图从数字上对安全风险进行分析评估的一种方法。定量风险分析中有几个重要的概念：暴露因子(Exure Factor，EF)—— 特定威胁对特定资产造成损失的百分比，或者说损失的程度。单一损失期望(Single Loss Expectancy，SLE)—— 或者称作SOC(Single OccuranceCosts)，即特定威胁可能造成的潜在损失总量。年度发生率(Annualized Rate of Occurrence，ARO)—— 即威胁在一年内估计会发生的频率。年度损失期望(Annualized Loss Expectancy，ALE)—— 或者称作EAC(EstimatedAnnual Cost)，表示特定资产在一年内遭受损失的预期值。考察定量分析的过程，从中就能看到这几个概念之间的关系：(1) 首先，识别资产并为资产赋值；(2) 通过威胁和弱点评估，评价特定威胁作用于特定资产所造成的影响，即EF(取值在0％~之间)；(3) 计算特定威胁发生的频率，即ARO；(4) 计算资产的SLE：SLE = Asset Value × EF(5) 计算资产的ALE：ALE = SLE × ARO这里举个例子：定某公司投资500,000 美元建了一个网络运营中心，其的威胁是火灾，一旦火灾发生，网络运营中心的估计损失程度是45％。根据消防部门推断，该网络运营中心所在的地区每5 年会发生一次火灾，于是我们得出了ARO 为0.20 的结果。基于以上数据，该公司网络运营中心的ALE 将是45,000 美元。我们可以看到，对定量分析来说，有两个指标是最为关键的，一个是发生的可能性(可以用ARO 表示)，另一个就是威胁可能引起的损失(用EF 来表示)。理论上讲，通过定量分析可以对安全风险进行准确的分级，但这有个前提，那就是可供参考的数据指标是准确的，可事实上，在信息系统日益复杂多变的今天，定量分析所依据的数据的可靠性是很难保证的，再加上数据统计缺乏长期性，计算过程又极易出错，这就给分析的细化带来了很大困难，所以，目前的信息安全风险分析，采用定量分析或者纯定量分析方法的已经比较少了。四、定性分析定性分析方法是目前采用最为广泛的一种方法，它带有很强的主观性，往往需要凭借分析者的经验和直觉，或者业界的标准和惯例，为风险管理诸要素(资产价值，威胁的可能性，弱点被利用的容易度，现有控制措施的效力等)的大小或高低程度定性分级，例如“高”、“中”、“低”。定性分析的作方法可以多种多样，包括小组讨论(例如Delphi 方法)、检查列表(Checklist)、问卷(Questionnaire)、人员访谈(Interview)、调查(Survey)等。定性分析作起来相对容易，但也可能因为作者经验和直觉的偏而使分析结果失准。与定量分析相比较，定性分析的准确性稍好但性不够，定量分析则相反；定性分析没有定量分析那样繁多的计算负担，但却要求分析者具备一定的经验和能力；定量分析依赖大量的统计数据，而定性分析没有这方面的要求；定性分析较为主观，定量分析基于客观；此外，定量分析的结果很直观，容易理解，而定性分析的结果则很难有统一的解释。组织可以根据具体的情况来选择定性或定量的分析方法。
风险评估常用方法有 风险评估的常用方法包括
风险评估常用方法有 风险评估的常用方法包括
风险评价方法有三种
风险评价方法不止三种，比较常用的有五种，分别如下：
1、成本效益分析法：分析风险发生之后采取相关措施需要付出什么代价，以及成效如何；
2、权衡分析法：把每个风险所产生的后果进行比较，从而分析风险带来的影响；
3、风险效益分析法：分析采取某个措施之后，需要承担什么样的风险才能产生成效；
4、统计型评价法：对已经发生的风险所记录的数据进行分析评估；
5、综合分析法：将风险的构成要件以统计学的方式进行计算分析。
风险评价分类
1、依据评价的阶段不同，可以分成事前评价、事后评价和中间评价三个类型；
2、依据评价的角度不同，可以分成技术评价、评价和经济评价三个类型；
3、依据评价的方法不同，可以分成定性评价、综合评价和定量评价三个类型；
4、依据风险管理内容不同，可以分成工厂设计风险评价、化学物质的物理化学风险评价等。
什么是风险评估 风险评估常用方法
风险评估(Risk Assesent) 是指，在风险发生之前或之后(但还没有结束)，该给人们的生活、生命、财产等各个方面造成的影响和损失的可能性进行量化评估的工作。即，风险评估就是量化测评某一或事物带来的影响或损失的可能程度。
风险评估的主要内容包括：
1、识别评估对象面临的各种风险。2、评估风险概率和可能带来的负面影响。3、确定组织承受风险的能力。
4、确定风险消减和控制的优先等级。5、风险消减对策。风险评估包括了对风险本身的界定、对风险作用方式的界定、对风险后果的界定等内容。风险评估，是指在风险识别和估计的基础上，综合考虑风险发生的概率、损失幅度以及其他因素。得出系统发生风险的可能性及其程度，并与公认的安全标准进行比较，确定风险等级，由此决定是否需要采取控制措施，以及控制到什么程度。【摘要】
介绍一下风险评估的五种方法。这几种方法各有所长、各有所重，针对不同的风险识别对象，可灵活运用，或专取一种，或几种组合，主要应考虑其有效性和员工的接受性，最终的目的是准确地识别出所有可能的有价值的风险，为后续的风险评估和风险控制提供可靠的依据。
1 现场观察法：通过对工作环境的现场观察，以查找现场隐患的方式发现存在的危险源，适应范围较广。
优点：现场观察法适用各场所及作业环节；缺点：①从事现场观察的人员，要求具有安全技术知识和掌握了完善的职业健康安全法规、标准；②不适应于大面积的观察。
2 安全检查表法SCL：它是由一些对工艺过程、机械设备和作业情况熟悉并富有安全技术、安全管理经验的人员，根据有关规范、标准、工艺、制度等事先对分析对象进行详尽分析和充分讨论，列出检查项目和检查要点等内容并编制成表。 分析者依据现场观察、阅读系统文件、与作人员交谈、以及个人的理解，通过回答安全检查表所列的问题，发现系统设计和作等各个方面与标准、规定不符的地方，记下异。
优点：安全检查表是定性分析的结果，是建立在原有的安全检查基础之上，简单易学，容易掌握，尤其适用于岗位员工进行危害因素辨识，对其起到很好的提示作用，便于全面辨识危害因素。
缺点：检查表约束限制了人们主管能动性的发挥，对不在检查表中反映的问题，可能会被忽视，因此，采用该方法可能会漏掉以往未曾出现过的一些新的危害。
应用范围：安全检查表一般适用于比较成熟（或传统）的行业，领域的危害因素辨识，且需要事先编制检查表，以对照进行辨识。安全检查表法尤其适用于一线岗位员工进行危害因素辨识，如，作业活动开始前，或对设备设施的检查等等。只能对已经有的或传统的业务对象、活动进行检查，对新业务活动、新行业领域的危害因素辨识不适用此法。
危害因素辨识所使用的检查表与安全检查时所使用的检查表并不完全一致，它们大致相同，但又各有侧重，因此，不应直接使用安全检查表所用的检查表进行危害因素辨识，应在其基础上进行修改、补充，是重新编制。
3 预先危险性分析法PHA：预先危险性分析又称初步危险性分析，是在进行某项工程活动（包括设计、施工、生产、维修等）之前，对系统存在的各种危险因素（类别、分布）、出现条件和可能造成的后果进行宏观、概略分析的系统安全分析方法。
优点：在最初构思产品设计时，即可指出存在的主要危险，从一开始便可采取措施排除、降低和控制它们，避免由于考虑不周造成损失。在进行庞大、复杂系统危害因素辨识，可以首先通过预先危险性分析，分析判断系统主要危险所在，从而有针对性地对主要风险进行深入分析。
缺点：易受分析人员主观因素影响。另外，预先危险性分析一般都是概略性分析，只能提供初步信息，且精准程度不高，复杂或高风险系统需在此基础上，借助其他方法再做进一步分析。PHA只能提供初步信息，不够全面，也无法提供有关风险及其风险预防措施方面的详细信息。
应用范围：预先危险性分析一般用于项目评价的初期，通过预先危险性分析过滤一些风险性低的环节、区域，同时，也为在其它风险性高的环节、区域，进一步采用其它方法进行深入的危害因素辨识创造了条件。适用于固有系统中采取新的方法，接触新的物料、设备的危险性评价。当只希望进行粗略的危险和潜在情况分析时，也可以用PHA对已建成的装置进行分析。
4 工作危害分析法JHA：工作危害分析（JHA）又称工作安全分析(JSA)是目前企业在安全管理中使用最普遍的一种作业。安全分析与控制的管理工具，是为了识别和控制作危害的预防性工作流程。通过对工作过程的逐步分析，找出其多余的、有危险的工作步骤和工作设备/设施，制定控制和改进措施，以达到控制风险、减少和杜绝的目标。
优点：该方法简单明了，通俗易懂，尤其是目前已开发JSA/JHA方法标准，可作性强，便于实施。使作业人员更加清楚地认识到作业过程的风险，使预防措施更有针对性、可作性。
缺点：该方法在危害因素辨识方面并无太多优势，它并不是用于危害因素辨识的专门方法，但由于其简单明了、可作，一般用于非常规作业活动的风险管理。
应用范围：工作危害分析一般应用于一些作业活动，如对新的作业、非常规（临时）的风险管理（当然，包括危害因素辨识），或者在评估现有的作业，改变现有的作业时，开展工作危害分析。工作危害分析不适用于对连续性工艺流程以及设备、设施等方面的危害因素辨识。
5 故障类型及影响分析法FMEA：
故障类型和影响分析就是在产品设计过程中，通过对产品各组成单元潜在的各种故障类型及其对产品功能的影响进行分析。并把每一个故障按它的程度予以分类，提出可以采取的预防、改进措施，以提高是将工作系统分别分割为子系统、设备或原件，逐个分析各自可能发生的故障类型及产生的影响，以便采取相应的防治措施，提高系统的安全性。
优点：系统化表述工具；创造了详细的可审核的危害因素辨识过程；适用性较广，广泛适用于人力、设备和系统失效模式，以及软硬件等。
缺点：该方法只考虑了单个的失效情况，而无法把这些失效情况综合在一起去考虑；该方法需要依靠哪些对该系统、装置有着透彻了解的专业人士的参与；另外，该方法耗时费力，花费较高。
应用范围：故障类型及影响分析广泛应用于制造行业产品生命周期的各个阶段，尤其适用于产品或工艺设计阶段的危害因素辨识。如果说要做好作业活动的危害因素辨识需要细化活动步骤，那么，设备、装置的危害因素辨识就要细化其功能单元，在此基础上，才能做好设备、装置的危害因素辨识，FMEA方法就是范例。
风险评估（Risk Assesent） 是指，在风险发生之前或之后（但还没有结束），该给人们的生活、生命、财产等各个方面造成的影响和损失的可能性进行量化评估的工作。即，风险评估就是量化测评某一或事物带来的影响或损失的可能程度。
风险评价方法有哪些？
常用的风险评价方法有以下几种：
1．成本效益分析法。成本效益分析法是研究在采取某种措施的情况下需要付出多大的代价，以及可以取得多大的效果。
2．权衡分析法。权衡分析法是将各项风险所致后果进行量化比较，从而各项风险的存在与发生可能造成的影响。
3．风险效益分析法。风险效益分析法是研究在采取某种措施的情况下，取得一定的效果需要承担多大的风险。
4．统计型评价法。统计型评价法是对已知发生的概率及其损益值的各种风险进行成本及效果比较分析并加以评价的方法。
5．综合分析法。综合分析法是利用统计分析的方法，将风险的构成要素划分为若干具体的项目，由专家对各项目进行调查统计评出分值，然后根据分值及权数计算出各要素的实际评分值与可能值之比，作为风险程度评价的依据。
风险的评价是企业在取得风险估计结果的基础上，研究该风险的性质，分析谈风险的影响，寻求风险对策的行为。
风险评价的方法在很大程度上取决于管理者的主观因素，不同的管理者对同样货金额的风险有不同的评价方法。这是因为相同的损益对于不同地位、不同处境的法人具有不同的效用。所谓效用，是指利益或收益存在于主体心目中的满足欲望或需要的能力。
主观因素决定着决策者对待风险的态度，而其态度不外乎三种情况：拒绝风险，放弃盈利机会；承担风险，追求利润；合理地规范其所能承受的风险程度，不因高盈利而冒大风险，也不因小风险而放弃盈利机会。显然，后者的态度是积极稳健的。
风险评价方法主要有
风险评价是指对潜在风险进行系统性评估的过程，以确定风险的概率和影响，以及采取措施的必要性和合理性。风险评价方法主要有以下几种：
定性风险评价法：定性风险评价法是一种非量化的评价方法，主要是通过专家判断、经验分析和直觉判断等方法，根据风险的性质、来源、影响和可能性等方面进行分析评价。这种方法适用于风险较小、经验丰富的领域，但是由于主观因素较大，结果不够准确。
定量风险评价法：定量风险评价法是一种基于数学和统计学方法的定量评价方法，通过收集、分析和处理大量数据，计算风险的概率和影响程度。这种方法适用于风险较大、数据充足的领域，但由于需要大量数据和复杂的计算，相对来说比较繁琐。
风险矩阵法：风险矩阵法是一种将风险概率和影响程度综合考虑的评价方法。将风险概率和影响程度分别划分为几个等级，并将两个等级相乘得到一个综合评价等级，从而确定风险的优先级和处理措施。这种方法简单易用，但是仅适用于定性评价。
树分析法：树分析法是一种通过构建树模型，逐级分析的可能性和影响，从而评估风险的方法。这种方法适用于风险复杂、可能性和影响程度多样化的领域，但是需要大量的数据和专业知识。
失效模式与影响分析法：失效模式与影响分析法是一种专门用于评估产品或系统可靠性的方法，通过分析系统各个部件的失效模式和失效影响，评估系统的可靠性和安全性。这种方法适用于工业和制造领域，对于其他领域的风险评价有一定的借鉴意义。
总之，不同的风险评价方法适用于不同的领域和情境，选择合适的方法可以有效提高风险评价的准确性和可靠性。