第10讲风险评估的概念

范文一：第10讲风险评估的概念

第十讲风险评估的概念

风险评估是对信息资产面临的威胁、存在的弱点、造成的影响，以及三者综合作用而带

来风险的可能性的评估。

作为风险管理的基础，风险评估（Risk Assessment）是组织确定信息安全需求的一个重

要途径，属于组织信息安全管理体系策划的过程。风险评估的主要任务包括： ?

? 识别组织面临的各种风险评估风险概率和可能带来的负面影响确定组织承受风险的能力确定风险消减和控制的优先等级推荐风险消减对策

在风险评估过程中，有几个关键的问题需要考虑。首先，要确定保护的对象（或者资产）

是什么？它的直接和间接价值如何？其次，资产面临哪些潜在威胁？导致威胁的问题所在？

威胁发生的可能性有多大？第三，资产中存在哪里弱点可能会被威胁所利用？利用的容易程

度又如何？第四，一旦威胁事件发生，组织会遭受怎样的损失或者面临怎样的负面影响？最

后，组织应该采取怎样的安全措施才能将风险带来的损失降低到最低程度？

解决以上问题的过程，就是风险评估的过程。

这里需要注意，在谈到风险管理的时候，人们经常提到的还有风险分析（Risk Analysis）

这个概念，实际上，对于信息安全风险管理来说，风险分析和风险评估基本上是同义的。当

然，如果细究起来，风险分析应该是处理风险的总体战略（它包括风险评估和风险管理两个

部分，此处的风险管理相当于本文的风险消减和风险控制的过程），风险评估只是风险分析

过程中的一项工作，即对可识别的风险进行评估，以确定其可能造成的危害。进行风险评估时，有几个对应关系必须考虑：

? 每项资产可能面临多种威胁威胁源（威胁代理）可能不止一个每种威胁可能利用一个或多个弱点

更详细的内容，我们会在后面逐步展开。

范文二：风险评估及管理的概念

风险评估及管理的概念

本节主要内容简介：

●风险的概念与来源

●风险的评估及管理

一、风险的概念与来源

(一)风险和不确定性的定义

1.风险

风险可被定义为一件事发生的概率和相关后果的组合,即：风险=概率×影响。

2.不确定性当指定结果的概念不可预测时，会出现不确定性。有时可通过客观概率将其转化成风险。概率可分为客观性和主观性两种。 ●客观概率是根据过去的发生概率方面的统计数据来确定某个结果在未来的发生概率。 ●主观概率是根据专家或管理层的最佳猜测来估计某个因素的波动性。

(二)风险的类型

1.自然风险。例如地震、火灾、洪水。

2.经济风险。该战略所依据的与经济环境有关的假设可能是错误的。

3.财务风险。(1)导致企业增加负债，从而提高资产负债比率;(2)经营产生的现金流不稳定;(3)需要投入大量资本，且未来投资回报不确定。

4.经营风险。企业经营过程中发生变化的不确定性。

5.货币风险。汇率变化。

6.政治风险。

7.关系风险。包括各种因素，例如：(1)延误存货供应是否会导致在合同关系上的损失;(2)外包被公认为是一种保持企业发展的方法，但是要保持长期的合作关系可能会产生问题;(3)在争端上风险及索赔的力度可能会升级;(4)企业缺乏偿付能力。许多成功的企业由于贸易伙伴无偿付能力而走向失败。

二、风险的评估及管理

(一)风险评估

采用一定的方法(例如运筹学、概率论等)，利用一定的数据对风险进行量化。

要注意方法的科学性和数据的可靠性和准确性

(二)风险管理

风险管理是指对风险进行识别和评估，针对风险制定、实施相应战略，并对该战略进行监控的过程。

风险战略

【本节考试小贴士】：

本节不属于考试重点，对教材内容作一般性了解即可，其中风险类型、风险的评估和风险战略可以在学习教材第九章的内容后前后结合复习。

范文三：风险评估概念

安全风险评估的少数派报告

2003-07-28 00:00:00.0 $page.getAuthor()

■ 本报记者徐莉如果说安全市场本身在中国仍处于方兴未艾的阶段，那么，安全风险评估就只能算作尚在萌芽的种子。因为，作为更高级别的服务，安全风险评估更像安全系统这道门上的一把锁，需要有个大前提。换句话说，只有企业的 IT 系统足够复杂，安全需求达到一定级别，这把锁才会派上用场。尽管很多人看好安全风险评估的未来，但是，目前国内提供真正安全风险评估服务的却只有少数企业。不过，通过对这些企业的采访，我们印证了大多数人的设想——安全风险评估确是一支开始萌芽的“潜力股”。提起 2002 年年底的互联网大会，启明星辰首席技术官刘恒至今印象深刻。在那次会议上，作为安全专题的讲演者之一，刘恒颇为有趣地体会了一回什么叫英雄所见，因为与刘恒一样，另外三名安全专家也不约而同选择了同一个演讲主题——安全风险评估管理。在会后的交流中，四位“英雄”半开玩笑地指出:“既然大家都看好安全风险评估市场，那索性将 2003 年定名为安全风险评估年。” 半年多时间过去了，市场为这个带有玩笑性质的预测做了最好的注脚。“进入 2003 年后，公司关于安全风险评估的单子明显增多，200 万以上的项目正在执行的有两

个，”刘恒说。在记者的追问下，刘恒对市场做了一个保守估计：“以 2003 年上半年的落单情况看，安全风险评估市场的总额应该在八千万到一个亿的样子。 ”安络科技的 CTO 谢朝霞对这个问题的回答很干脆: “用在安全风险评估上的投资能占用户总投资的 1%～ 5%，电信和金融用户能达到 3%～5%。”按此比例换算，仅银行市场，每年用于网络安全评估的费用将超过几个亿。我们无意求证这些数字的精确程度，因为这不重要。重要的是，从这些最前沿市场中人的判断，我们看到了安全风险评估正在从概念走向应用，从空中楼阁走向触手可及。而对那些已经开始这项业务却无斩获或将要开始却有迷茫的企业来说，先行成功者的体验无疑是最可宝贵的。安全风险评估的内涵与外延什么是安全风险评估？夸张地讲，一千个人有一千个答案。这些答案或许没有本质区别，但是，因为现阶段的市场尚没有一个明确的定义，每个人对安全风险评估的理解，将会因为内涵与外延的不同，呈现溢出或缺损的现象。或许，从用户的需求角度，更容易将这个问题讲明白，也更具有现实意义。作为一家电子商务公司的网管，小路深感责任重大。自从 2001 年成立以来，公司网络多次受到来自黑客的攻击，最严重的一次，业

务因此停顿了 24 小时。为此，小路需要经常上网查找最新安全动态。到目前为止，仅在 IE 浏览器上，小路就已经打了不下 7 个补丁。但是，从 IE 浏览器、Apache HTTP Server、到域名软件 BIND，都可能是下一个风险的发源地。“风险无处不在，”小路说，“如果想到种种可能性，真会让人晚上睡不着觉。”为了让小路和公司领导都能睡上好觉，2003 年初，小路所在的公司请了一家专业公司为自己的网络系统作安全评估，合同期为一年，除了最开始两个月对系统、网络、应用作全面地扫描和评测外，在后面的 10 个月里，安全公司将全面检测小路公司网络流量的进出情况，并将最新发布的安全漏洞以及补丁情况及时通报给小路。一旦发生问题，服务商承诺在 1 个小时内做出反应。小路公司的要求几乎涵盖了安全风险评估的大部分内容。如漏洞扫描，可以划归脆弱性分析; 评测过程，可以算作威胁分析、风险分析。通常来讲，风险咨询公司都会从资产调查开始，逐步进行脆弱性分析、威胁分析、风险分析，针对风险提出解决方案，并提供业务连续性综合办法。有些咨询公司，还会应客户的要求，为加固后的网络系统做二次评估。从范围上看，安全风险评估又可分为基线风险评估、非正式（快速）风险评估、详细风险评估与综合风险评估。其中，基线评估通常会在启动一个系统建设项目之前开始。非正式评估是针对具体问题，通过工具和人的经验，找到问题，提出解决办法。详细评估则需从物理系统上、数据上以及管理等方面进行全面的评测。绿盟科技工程部安全工程师于慧龙认为，目前，国内第二种评估比较多。从评估主体上看，安全风险评估又可分为自评、国家授权的专业评估机构评测和以服务商为主体的市场化评估行为。“目前，国内缺乏相关网络安全定级标准，因此，国家还没有设定这样的专业评估机构，”北京中科网威技术中心副总经理吴云坤说。

作为目前市场最主要的群体，安全服务公司提供的评估又可分为两大类：评估加固与评估咨询。“中小客户通常喜欢采用前者。”刘恒说，“他们通常会就网络现状做一个调查，从主机到网络到安全设备，全面查找安全漏洞，然后，要求咨询公司提供加固服务。大客户则需要全面掌握网络安全的情况，要求服务商从系统到管理，提出全面的风险管理办法。” 自测系统安全的几个渐进方法

普通系统测试敏感性系统的实类别的实施周期施周期网络 3 个月映射脆弱性扫描渗透性测试安全测试与评估解码日志检查完整性检查

工复作风杂任务和作用难险

性度

确定网络结构、使用中的主机个数和软 12 个中中中件确定未经授权但却连接在网络上的主月机确定打开的端口确定未经授权的服务确定网络结构、使用中的主机和软件确定需要进行脆弱性分析的计算机在分析 3 个月~6 个 12 个高高中目标的计算机中找出可能被攻击的漏洞月月确定 OS 和主要应用软件是否及时升级或者打补丁决定测试目标，确定脆弱性等级，以及 12 个可能产生的破坏程度检查系统人员在发 12 个月高高高月生安全问题时的响应速度、对安全政策的执行情况以及安全方面的基础知识等发现设计、实施、以及运行中存在的安至少 3 年一至少 3 全问题从物理措施、保险等各个角度，次，或在系统年一高高高重新部署安全措施，来保证安全制度的做出大的改次实施评估系统文件与实际状况之间的差变的时候异性确认生成密码的原则是有效且可行的确 12 个 1 个月低低低认用户是否按照系统制订的原则设置密月码 1周 1周中中低确保系统按照设定的原则运行

1 个月或根据实际需要 1 个月低低低发现未经授权的文件修改随时进行 1 周或 1 周或根据根据病毒需要随时进需要低低低在病毒发作前，发现并删除病毒检测行随时进行

拨号 12 个月检测

12 个低低中发现非法 Modems，阻止未经授权的进入月

细节之中见真章很多情况下，细节决定结果。特定到安全风险评估领域，在完成最初的认知之后，今天的服务商们，又有谁，不是力争在细节上打败对手？如果三年前，有人提到安全风险评估概念，那他多半是指漏洞扫描。即便在今天，很多企业仍将这个原本宏大的评估概念狭义地限定为漏洞扫描与修补。如果是这样，服务公司很难区分彼此，“现成的扫描工具与产品有很多，我们自己也可以买来工具做扫描，”作为用户，深圳电信的陈波对此狭义理解也很不能接受。事实上，真正的安全评估服务价值远远超越简单的扫描。最基本的，网络安全风险是动态的。仅从 2001 年 12 月到 2002 年 12 月，关于 SQL 服务器上的漏洞，就有 11 个报告。而这期间，跟踪漏洞报告及时与否，就显得格外重要。一些专家还明确指出，在使用 SQL 服务器的时候，不要将 1433 端口和 1434 端口打开。如果一定要联接，就不要采用 SQL 服务器，除非你能保证在第一时间打补丁。为了这个“第一时间”，小路所在的公司才会找来专业公司帮忙。除了硬件系统、网络、操作系统等的安全风险评估外，应用的安全评估更显“真功夫”。湖北移动梦网部的张明峻认为，应用系统安全隐患很多。作为非标准化的软

件产品，很多应用在开发过程中都缺乏对安全问题的统筹考虑。“1.0 版本的软件通常会有很多安全方面的问题，”一个专家警告说。在升级过程中，某证券公司的网络管理员发现，自从公司的股票交易系统升级后，用户投诉开始增多。很多用户反映，在输入账户、密码、端口号码以及代理服务器的地址后，却无法进入交易系统。经过查证，请来解决问题的安全服务公司发现，因为新版本与原来的网络环境，包括安全系统不匹配，用户无法通过防火墙。“因为证券公司有五个不同的防火墙。在这种情况下，只有在防火墙上新打开一个入口，用户才能进入系统，”服务工程师说。最后，在服务公司的建议下，这个证券公司选择使用另外一个应用系统。“这是一个明智的选择，否则，这个应用将带来潜在的安全隐患，”谢朝霞评价说。能在事前帮助用户排除风险固然不错，但并非每个用户都会做出同样的选择，当发生问题时，作为安全风险评估公司，是否能在最短的时间，排除其他可能性，从应用层面找到问题症结，同样至关重要。另外，无论自己提供安全产品与否，作为提供服务的安全公司，不要忘了，网络安全产品本身同样可能存在漏洞。去年，在为政府部门检测一个安全评估工具时，一家安全风险评估公司发现了扫描软件自身存在漏洞，这个漏洞，在某种程度上，使整个网络暴露在危险之中。

实践者的方法论实践需要理论指导，但市场往往等不得成熟理论的出台，就已经急切地凭着直觉向前奔去。不过，聪明的实践者总能在忽左忽右的摸索中找到平衡点，进而形成自己的方法论，高明的，更会在日后成为完整理论的奠基者。在采访中，众多被调查者一致认为，眼下安全风险评估市场最大的问题之一是缺乏评估标准，这个答案几乎是此次采访中唯一例外的“标准”答案。从目前的市场情况看，有关安全的标准已有一大堆，如美国 TCSEC、BS7799、 ISO15408、ISO/IEC17799 和 ISO13335 等。但具体到安全风险评估上，每个标准却都有其局限性。按照于慧龙的说法，ISO15408，虽然在功能上比较全面，但却没有安全管理方面的规范，对系统评测方面的规范也不足；ISO13335，因为制订的时间早，与目前的市场情况有些脱节； BS7799，虽然详尽但非常复杂，虽然全面但不够有针对性。 BS7799 由派生出来的 ISO17799，强调了针对性，却在安全评估方面比较简单，缺乏对照的标准。来自实战的经验表明，在评估过程中，咨询工程师最常面对的问题是，资产多重要才算重要？什么样的系统损失可能构成什么样的经济损失？怎样的技术体系达到怎

样的安全等级？一个病毒中断了邮件系统，企业因此造成的经济损失和社会影响如何计算？如果黑客入侵，尽管没有造成经济损失，但企业的名誉损失又该如何衡量？事实上，这些问题将从各个角度决定一个系统安全评估的结果。在没有一个相关标准的情况下，各家公司更多的是参考国外标准，凭借各自积累的经验、与用户多做沟通来解决。有心的公司，更是将这些经验累计下来，形成文档，总结出各自的咨询规范。谢朝霞说：“通过三年的时间，我们积累了一个巨大的知识库和工具库，新来的员工，借助这些手段，也能很快进入工作状态。”启明星辰则将这些宝贵的工作总结出来，与国际上的先进产品结合起来，做成有针对性的评估软件产品。从发展过程看，国内安全风险评估市场经历了三个阶段：1、不注重标准，2、过于依赖标准，3、跨越标准。“我们现在处于第三阶段，在具有适应性特点的国家标准出台之前，我们先在内部制定具有可操作性的行为规范，”刘恒说。清内忧难于除外患在受过黑客攻击和病毒的“洗礼”之后，很多用户开始在防御外来风险方面提高了警戒，但是，在漏洞更多、管理更复杂的内部风险方面，大多数企业仍疏于防范，或缺少规则。与之相对应的，内部安全风险评估难度也就更高。按照北京中科网威技术中心副总经理吴云坤的说法，系统越复杂，企业越需要风险评估，评估过程也会更有挑战性。对一个 B2B 或 B2C 的网站来说，它的网络结构可以统一归类为单点对多点模式。但内部的网络结构，则通常属于多点对多点。业务部与业务部之间、业务部与办公室之间，每个人与每个人之间，都将连接在一起。“关联点越多，系统越复杂，”吴云坤说， “相应的工作流也呈现多样化和多角度的形态。”因此，在提供安全评估的过程中，服

务商必须对企业内部的业务流程、管理模式有相当的了解，才能切中要害。据有关机构统计，目前，国内银行与网络相关的经济犯罪 100%属于内部作案或内外勾结。这样一个触目惊心的数字令人不禁想到，银行业内部的安全防范是怎样的脆弱。通过为一些银行用户做评估，谢朝霞发现，很多风险出在管理上，如银行的生产环境与网络开发环境本应该严格分开，非业务操作人员进出营业现场应该有严格的登记制度。但是，在实际中，很多技术开发人员随便出入生产现场。最早的一起银行网络安全事故，就是因为开发人员偷看了操作人员登录密码，偷走了 26 万元现金。就是这样一些与网络、与技术没有本质关联的问题，造成了大量事实上的安全风险。还有一

些银行，基础设施落后，有些甚至还在使用安全性很差的 HUB，这种产品，只要随便连通到一个端口上，就可监看所有的信息流量。这些问题其实反映出同一个本质，即用户内部安全防范意识淡薄。因此，对安全评估供应商来说，打破常规，改变观念也是评估过程中需要解决的问题之一。需求篇多汁的酸桔子柳传志曾说过一句话，利润像海绵里的水，是挤出来的。这句话放在任何一个成熟市场都很合适。不过，作为一个全新启动的领域，安全风险评估市场更像一个多汁但尚未成熟的桔子，汁液虽然丰富，但要想吃得好，需要先了解桔子的成分，然后想出各种新方法，或蒸或煮或加糖，重要的是，只有打破常规，才能提前品尝好味。茶杯里的大象从最初的市场需求看，国内的安全风险评估出产于安全事故。如黑客入侵，病毒发作，网络“无缘无故”的瘫痪，用户靠自己的力量解决不了，于是开始从外部寻求帮助。但是，从这个需求点开始，服务公司往往帮助用户发现更多的安全隐患，就像 “事故”这个小茶杯里装入了“评估”这头大象，拾遗补缺式的简单要求牵扯出的是一系列评测、分析与整体解决方案的需求。随着网络大环境与企业小网络环境的日趋复杂，各种“茶杯”多了起来。如黑客大战爆发，网络投资前的安全评估，企业领导对不断扩大的网络安全现状的了解需求，行业领头羊或总部的拉动作用、大行业的引导作用等，都可能促成一个评估合同的产生。除此之外，政策的原因，如某个行业整体提升网络安全的需求，大事件的发生，如两会期间的网络安全问题，也会诱发短期需求。但真正促成这个市场发展的因素仍来自企业认识的提高以及网络变得复杂后，为保证网络可用性、可靠性、保密性，不得不借助外部力量的切实要求。 “因为政策、因为各种外在因素促成的需求是不可靠的，这样的用户，即使签

了单，未来开发潜力也不会很大，”刘恒说。事实上，安全评估市场的可重复性很强，就像检查身体一样，不可能一次检查，一劳永逸。因此，了解现有用户需求动机，洞察用户发展潜力，对供应者来说，是获得事半功倍效果的关键之一。增加手中的筹码相比较而言，国内的网络安全评估市场远比国外滞后。从根本上讲，网络整体发展阶段的不同造成了这种差异。从不少概念片里看到的，如用手机买票，通过机场免费系统查找出租车，无需见面就签合同、买卖商品（包括企业间的大订单），事实上已经成为很多美国人生活中的必要组成。而我们，尽管在信息获得上已经对网络构成依赖，但是，就买卖

行为而言，更多的还是发生在网外，最多上网买个图书与 CD，多数情况下，还会选择货到付款。正是因为国外这种无处不在、随手可用的网络现状，带来方便的同时，也催生了意愿之外的副产品——网络安全隐患。当然，你无需低估人类的智慧，因为紧随其后的，就是各种针对安全的产品与服务的诞生和发展。网络环境的区别，或许是国内外网络安全风险评估市场巨大差异的本质原因。因为这样的环境，由此衍生的各种服务又反过来对评估市场带来新的动力。如 B2B 业务的发展。很多国外企业为了向客户证明自己的网络是安全的，在建立 B2B 业务之前，纷纷寻找第三方安全风险评估公司，为自己的网络安全做评估，有些在遵循评估公司的建议，修补网络后，还会进行二次评估，确定自己网络安全的等级，最终赢得用户的信任。另外，随着近年来网络安全事件频繁发生，有关网络安全保险的业务开始萌芽。从保险公司的角度，费率的制定，与客户网络的安全等级大有关系，网络越安全，费率越低。如果企业能证明自己的网络非常安全，就有可能以极低的价格获得保险。而这一现象，同样促进安全风险评估市场的发展。作为国内安全风险评估供应商，或许可以通过与保险公司合作的方式，从侧面拉动市场的发展。先摘够得着的果子如果按照每年几个亿计算，今天的安全风险评估市场只能算作小菜。就国内市场来看，电信行业显然是“第一个吃螃蟹的人”。根据 IDC 的调查，2003 年，亚太电信公司花在网络安全上的开支将占整个 IT 开支的 15%。40%的受访者表示，他们面对的安全问题有所增加。对各种新技术、新服务体验的意愿，让中国的电信市场成为全世界供应商眼中“最可爱的人”。就安全风险评估市场来说，电信同样给了供应商希望，并起到了“带头”作用。“今年，我们几个大的评估单子都是来自电信，”刘恒说。紧随其后的是金融，包括银行、证券和保险。在这一点上，南北供应商认识不一，谢朝霞认为，银行在商务上的风险最大，因此，对网络评估的需求也最强烈。从安络科技的业务组成上看，来自银行与证券的用户最多，电信其次。刘恒则指出，在安全风险评估业务上，今年，电信市场真正启动了。金融领域零散的单子虽然不少，但整个行业的大规模启动应该在明年。而吴云坤则认为，未来，随着安全评估标准的确定，银

行将会以自评为主。“因为银行的业务系统大多是自己开发完成的，交给外面的公司做评估，反而增加了安全风险。” 政府方面，总体来看，目前在安全风险评估上的需求还不很明确。

但随着电子政务的进一步发展，与之相关的网络安全方面的需求必然会有所加强。各种各样的网站对安全风险评估的需求也开始放大。除了自身技术能力比较雄厚的新浪、网易等，不少网站也开始借助外力，评估自己网络的安全情况。产品服务化和服务产品化是两个发展趋势，我们希望在这其中找准自己的位置。 ——北京中科网威吴云坤越是新开发的应用，越需要进行安全评估。 ——安络科技谢朝霞服务篇风口浪尖上的淘金者概念多，服务少早在 2000 年，绿盟科技就提出了 NSPS 安全服务体系，由此以后，市场上有关安全评估、安全服务的概念如雨后春笋，在各种各样的安全公司落地生根。不过，提出概念容易，提供服务却难。而国内市场对有偿服务的接受程度过低也一直为企业界所诟病。在这样不利的外在环境和小我的局限面前，大部分企业更多地将评估等服务作为概念或者辅助手段，目的在于推进其主体业务——产品的销售。即便今天，无论是卖防火墙的，还是卖控制网关的，大部分以产品起家的安全公司，在安全风险评估这个环节，仍有“挂羊头，卖狗肉”之嫌。从采访的情况看，目前，能够提供完整而真实的安全风险评估的企业并不多。坚定者的殊途同归无论是最早提出安全服务概念的绿盟，还是爆发力十足的启明星辰，他们的共同之处在于是安全服务的坚定实践者。在 2000 年就把服务作为自己的主营业务，绿盟无疑走过一段并不平坦的路。尽管在适应市场的过程中，绿盟也陆续推出相关的网络入侵检测产品、抗拒绝服务产品。但这些产品也多是围绕服务需要开发的，目的在于形成与服务的互动。应该说，绿盟自始至终都是安全服务的坚持者。最为业界津津乐道的是，绿盟网罗了不少高手，这些网络安全的守护者，构成了绿盟最难被人超越的技术壁垒。成立于 1996 年的启明星辰在安全检测产品方面一直有着骄人的成绩。迄今为止，已经承担了国家级、部级重点信息安全科研项目三十多项。从 2002 年开始，启明星辰开

始逐渐加大安全风险评估服务的投入力度。“2003 年上半年，安全风险评估的单子比预计的翻了一倍，”刘恒说。凭借多年的技术积累与良好的客户关系，启明星辰在评估市场可谓厚积薄发，雄厚的人才储备，使启明星辰一出手就占了先机。服务好坏，响应速度显然是服务一个重要的衡量指标。因此，本地化在服务中更易突现其作用。地处深圳的安络科技在南方市场因此具有优势。而中国市场向来南方先行的特征，又让安络科技比别人更有机会积累宝贵的评估经验。“目前，来自评估的

业务已经占到总收入的 60%，”谢朝霞说，“客户多来自银行和电信，单子很多，规模一般在几万到几十万。”具体到评估内容，安络强调应用系统的安全评估与安全管理的规范上。而这一点，对供应商的行业理解要求很高。另外，安氏在安全风险评估方面业务开展得也比较早，通过代理 ISS 的几个检测工具，安氏早期获得了不错的市场口碑。与安氏类似，玛赛网络也曾在这个市场显山露水，并为业界培养了不少人才。但是，因为人事变动等原因，玛赛已经被投资方—— 亚信收回，它下一步的市场举动还有待观察。而原来以产品为主的中科网威，近期开始向服务倾斜，并召集了不少精英，意欲在这个潜力巨大的市场一展身手。安全评估很重要，应该每年至少做一次。我们对目前得到的服务基本满意，但就是价格太贵了。 ——深圳电信陈波目前，数据业务占的比例还不高，相关的网络攻击虽然有，但并未构成太大的威胁。因此，安全风险评估对我们来说，还不是眼下最要紧的事。 ——湖北移动张明峻

信息系统安全风险评估应用：评估过程

育龙网 WWW.CHINA-B.C0M 2009 年 05 月 21 日来源：互联网

育龙网核心提示：信息的安全防范工作一直是整个信息系统安全防范工作中的重点之一。在本文中就以信息安全风险评估对象中的网络操作痕迹信息检查为

信息的安全防范工作一直是整个信息系统安全防范工作中的重点之一。在本文中就以信息安全风险评估对象中的网络操作痕迹信息检查为评估项目，来说明一次安全风险评估该如何具体地去做。一、安全风险评估准备阶段在每次风险评估开始之前，一个最好的保证评估过程顺利完成，评估结果真实有效的方法，就得为此制定一个风险评估策略。但如果只是对某个独立的或者是临时决定的小评估

项目进行风险评估，而且你和你的评估团队以前经常对些小评估项目进行风险评估，那么，只要为它做一些相应的准备工作就可以直接进行评估了。风险评估策略的具体内容是根据实际的评估对象和评估项目来决定的，因此，不同的评估对象的风险评估策略是不相同，就是同一评估对象，如果评估的具体项目不同，其风险评估策略也不会相同。 1、制定风险评估策略一个好的风险评估策略，应当包括下列所示的内容：（1）、指定评估小组成员信息风险评估小组担负着机构的风险评估工作，其成员要能代表整个机构。同时，成员必需在人员安全评估（确定某个人员可以信任风险评估工作）通过后确定。具体的成员应当包括：IT 部门主管、风险评估负责人、系统或网络管理员、信息安

全技术人员，还可以包括安全产品供应商代表及合作伙伴代表等。评估人员确定后，就要分配相应的评估任务给具体的人员。确定每个评估人员各自的职责，所要承担的法律责任，并做成文档分发到每个评估人员手中。同时，要为评估任务指定一个总的负责人，来监督整个评估过程，并协调处理评估过程中出现的临时状况。还要说明评估结果的填写和上报方式，如说明每个评估人员完成自己的评测任务，填上评测结果后，当上交给风险评估负责人时，还应当与负责人一同签名才能有效。（2）、确定风险评估的范围和目的确定风险评估的范围也就是指指定具体的评估对象和评估项目，风险评估的目的就是指此次风险评估要达到的期望值。风险评估的目的和范围是相辅相成的，只有指定了评估对象中评估项目的风险评估目的，才知道需要什么样的评估任务来达到这个目的，也就圈定了具体的评估范围。也只有确定了风险评估的范围和目的，我们的风险评估才能有的放矢地进行。在本例中，我们的评估对象是信息安全风险评估;评估项目是网络操作痕迹信息检查; 评估的目的是检查网络中遗留的网络操作痕迹信息中是否含有机构内部机密;具体的评估任务有：

①、检查机构内部员工 WEB 数据库和缓存中的内容; ②、检查机构内部员工是否通过个人主页、博客、论坛，以及发布网络求职简历的方式，透露了机构的组织结构，或其它机构内部机密信息; ③、调查机构内部员工是否在使用私人电子邮箱，并且在法律允许的条件下，检查员工是否通过机构分配的电子邮件发送机构内部机密信息; ④、了解机构内部员工的计算机技术水平，以及了解计算机技术水平较高的员工所处的部门及其操作权限; ⑤、调查机构内部员工是否在工作时间使用即时通信工具，并在法律条件允许的条件下监控即时通信的内容; ⑥、使用互联网搜索引擎查找网络中是否存在与机构相关的机密信息，或者可以在各种特定的新闻组、论坛及博客中搜索; ⑦、检查机构内部员工是否在使用 P2P 软件，在法律条件允许下审查 P2P 通信内容。（3）、确定本次评估任务的开始和结束的具体日期和时间，如有可能，还有决定具体的风险评估时间，并在风险评估文档中留出相应的位置用来标明评估工作的开始和结束时间。（4）考虑一些在风险评估过程中可能发生的情况，、以不影响正常的业务为基本条件。应当为此制定一个应对有可能造成业务中断，或造成真实安全事件发生事件时的应急措施。 2、根据评估项目和要完成的评估任务制作风险评估表单风险评估表单

就是在一张表单上将要评估的项目及评估任务一一列出，然后在进行具体的风险评估时，就可以按表单中的内容来依次进行。图 2.1 就是网络操作痕迹信息检查评估项目的风险评估表单。图 2.1 网络操作痕迹信息检查的风险评估表单信息安全风险评估

评估项目：网络操作痕迹信息检查评估的目的：检查网络中遗留的网络操作痕迹信息中是否含有机构内部机密评估任务红勾顺序评估任务描述结果描述结束时间评估人备注 1 检查机构内部员工 WEB 数据库和缓存中的内容 2 检查机构内部员工是否通过个人主页、博客、论坛，以及发布网络求职简历的方式，透露了机构的组织结构，或其它机构内部机密信息 3 调查机构内部员工是否在使用私人电子邮箱，并且在法律允许的条件下，检查员工是否通过机构分配的电子邮件发送机构内部机密信息 4 了解机构内部员工的计算机技术水平，以及了解计算机技术水平较高的员工所处的部门及其操作权限 5 调查机构内部员工是否在工作时间使用即时通信工具，并在法律条件允许的条件下监控即时通信的内容 6 使用互联网搜索引擎查找网络中是否存在与机构相关的机密信息，或者可以在各种特定的新闻组、论坛及博客中搜索 7 检查机构内部员工是否在使用 P2P 软件，在法律条件允许下审查 P2P 通信内容

备注：评估开始时间：年月日时分评估结束时间：年月日时分项目负责人： 3、考虑完成评估任务时会用到的各种工具，并准备妥当。这些工具应当是切合本次风险评估任务的，并且在已经通过在某个实验环境中测试已经证明其有效。在本次风险评估中，会对机构内部人员进行网络操作行为监控，因此，得为它准备相应的网络操作行为分析设备，或者是安装有网络操作行为分析软件的计算机，最好当然是笔记本电脑。同时，还应当准备好所将设备连接入目标网络的所需的线缆，以及其它与此次风险评估相关的所有工具和文档，并将它们统一管理。一个风险评估策略不仅可以包括上面已经列出的这四个方面，还可以在其中添加与评估任务实际需求相关的内容，例如加入说明此次评估任务的具体流程和细节，各种注意事项等等。并要求所有的评估人员，严格按照这个风险评估策略中的内容来进行具体的评估工作。一个风险评估策略是一个需要技术和经验并重的工作，而且需要考虑的内容很多，一个人不可能将风险评估项目相关的所有方面考虑周到。因此，在制定风险评估策略时，应当发动所有评估人员，以及评估对象的使用人员和设备供应商代表等一起来分析制定。对于

信息系统风险评估来说，如果准备工作越充分，后续的风险评估过程就越有效率，评估过程中出现的错误就越少，评估的最终给果就越真实有效。如果在准备过程中疏忽了某些内容，特别是制定的安全风险评估策略出现考虑不周的情况，要是没能在执行风险评估前检查出来，就会使最终的风险评估结果偏离实际，这样就会让我们空担心一场，或空欢喜一场。二、安全风险检测阶段当所有风险评估工作的事前准备工作全部妥善完成后，就可以按风险评估策略中确定的日期和时间，开始对指定的评估对象的评估项目做相应的安全风险评估。安全风险的评估过程就是使用具体的方法，来解答在准备阶段制定的评估项目表单中所有列出的评估任务的过程。

要完成风险评估表单列出的评估任务，需要使用一些针对某个评估任务的具体解决方法。解决评估任务的方法有很多种，包括问卷调查、访谈、模拟社会工程攻击、使用风险评估工具（包括软硬件方式的工具）、审查各种日志、审查各种设备和安全设备的配置文档，以及使用实际的模拟或真实的攻击来检验等方法，都可以用来解答评估项目中所需要完成的评估任务。其中的某些方法只对某个评估任务有效，而一些工具可能一次自动完成多个项目。为了能减少使用工具产生的误报和漏洞，可以使用二种以上的工具来检测同一个评估任务，或者使用手工测试的方式来确认检测结果的真实性。同时，在进行某些评估任务的评估工作时，例如系统弱点扫描，应当从由外向内看和由内向外看的两个方式分别进行。进行由外向内看的测试时，是试图从组织网络边界的外部检测系统，它能为我们提供一个从外部攻击相同的方式来审视系统的安全性。而进行由里向外看测试时，我们就应该从内部人员对系统使用权限的角度，去审查系统的安全性，此时，我们会得到比由外向内看更多的安全信息。恰当地使用这两种方式，能将目前大部分的安全威胁都考虑进来。每个风险评估项目中的所有评估任务，如没有特殊要求，就必需按照风险评估表单中排列的顺序来进行。这是因为在评估过程中，当前的评估任务完成后产生的结果，可能会用来作为下一个任务的检测条件。如果此时评估的顺序相互置换，那么就会造成错误的最终评估结果。在本文中的网络操作痕迹信息检测评估项目中，所有的评估任务都是由内向外看的方式来进行的。这些评估任务可以通过机构员工档案审查，检查员工使用的计算机中的浏览器 COOKIE，检查机构 WEB 服务器缓存，审查机构边界位置网络操作行为管理

设备的各种日志，通过网络搜索引擎，通过搜索一些独特的位置（如新闻组、博客及论坛）来完成。同时，还可以通过模拟发送机密信息的方式，审查已有的网络操作行为监控设备是否能拦截它发送到互联网中，是否能够限制员工使用即时通信软件和 P2P 软件，员工是否可以突破封锁等任务。并且检验网络操作行为监控设备是否能将违规行为记录到相应的日志当中，能否提供有效的警报，收到警报能否产生有效的拦截等等。有时，会将所有的评估任务分配给几个人来进行，因此，当某个评估人员完成属于他（她）的评估任务后，就应当在评估任务答案后评估人一栏中签上他的名字。当所有评估任务完成后，将已经填入评测答案和评估人签名的风险评估表单上报给评估负责人，经评估负

责人确认并签字后，这个风险评估表单中的内容才能算真正有效，并在风险评估表单中填入评估结束时间。然后就可以进入下一个风险评估环节。三、信息系统安全风险评估对象风险检测结果分析及给出评估报告阶段当评估项目的所有评估任务完成后，就应当组织整个评估人员，将风险评估表单中每个评估任务的评测结果分析并汇总，给出一个具体安全和风险等级。然后，通过分析目前可以使用的安全防范技术，从机构可以接受的安全风险防范投入成本出发，同时给出一个相应的安全风险解决方案，并在解决方案中说明方案实施后能解决的风险，达到的具体安全等级，以及仍然存在的风险状况等内容。所有的这些信息都可以一个报告文件的方式记录下来。每个信息系统安全风险评估报告都是针对某个具体的评估对象而言的。在本文的实例中，应当给出一个包括下列内容的风险评估报告，其它评估对象的风险评估报告给出的内容至少也应当包括下列所示的内容： 1、列出完成的评估任务清单; 2、列出评估对象目前存在的威胁和弱点，给出具体的安全和风险等级; 3、列出防范这些检测到的威胁和弱点的保障措施; 4、说明这些安全建议是属于物理、管理、还是技术控制; 5、说明实施这些给出的安全建议后会带来的效果; 6、说明每一个具体的安全建议，能将风险减少到什么程度; 7、安全修补后，评估对象能达到什么样的安全等级; 8、安全修补后，还有什么风险没能完全控制，应当如何进一步控制; 9、说明实施这些安全修补措施具体应当花费的安全成本。有些时候，风险评估报告中不一定要求给出具体的安全修补建议。但是，当检测到的弱点可能给机构信息系统带来中等或高等安全风险时，就应当按要求给出针对性的安全解决方案安全

风险评估报告的内容可以作为安全策略的一个强有力的补充，你甚至可以将它们的

处理建议加入到已有的安全策略当中，以保证安全策略的强壮性。安全风险评估报告同时也可以作为上报给机构领导或评估小组领导的书面报告，你可以在报告中标出哪些方面是必需要修补的，以便能让上级领导赞同你的建议。这样，你要确保你的安全风险评估报告的有效性和权威性。有效性说明这份报告是在真实检测和分析的基础上形成的，而且时间与报告的时间相吻合。权威性是指这份报告应当出自整个评估小组在检测分析之上，并不是某个人凭空想象造出来的。并且有整个参与人员的所有手工签名，以及标出所有评估都是参照某个国家或国际标准来评定具体安全和风险级别的。四、后期安全维护阶段后期安全维护其实只是信息系统安全风险评估过程中的一个附加阶段。对于专门的风险评估机构或安全公司来说，当给出具体的安全风险评估报告后，就表明此次风险评估任务全部结束。但是，对于评估对象所在的机构来说，安全风险评估工作的结束，只是表示另一个重要的任务，安全修补任务的开始。后期安全维护就是按照风险评估报告中给出的安全修补建议，决定实施额外的管理和安全防范措施，以便能修正现有的安全策略，降低目前存在的弱点可能被威胁利用后带来的风险水平。在安全修补实施的过程中，如果有些安全弱点不能按要求进行修补，你应当将它们记录下来，并上报给机构技术负责人。另外，非常重要的一点就是：在所有的安全修补工作按要求全部完成后，一定要按本文所描述的风险评估过程重新对修补后的评估对象进行一次复查评估，以便确认修补后评估对象是否真正达到了期望的安全水平。同时，也能给出仍然不能防范的安全弱点，以及这些弱点目前应当如何应对才能降低发生的可能。从这里我们就可以看出，信息系统安全风险评估是一个风险评估准备、风险评测、给出风险报告与后期维护四者之间不断循环往复的处理过程。

范文四：风险评估与风险管理的概念

风险评估与风险管理的概念

风险评估 (Risk Assessment)：有时候也称为风险分析，是组织使用适当的风险评估工具，对信息和信息处理设施的威胁(Threat)、影响(Impact)和薄弱点(Vulnerability)及其发生的可能性的评估，也就是确认安全风险及其大小的过程。风险评估是信息安全管理的基础，它为安全管理的后续工作提供方向和依据，后续工作的优先等级和关注程度都是由信息安全风险决定的，而且安全控制的效果也必须通过对剩余风险的评估来衡量。

风险管理是信息安全管理体系建立的基础。完整的风险管理包括资产识别、资产估值、风险分析、风险评价、风险处理和剩余风险评估等过程，这些过程需要处理大量的数据，而资产、资产属性、威胁、薄弱点、事件的影响、发生的可能性、控制措施等风险评估要素随着评估过程、沟通过程、监视和评审过程、重复的评估过程而不断变化，需要不断的重复的进行大量的数据处理。风险评估是一把双刃剑，组织可以通过风险评估，发现风险，进而控制风险。但是，风险评估结果本身对组织也是一项威胁，如果保管不当，被泄漏出去，则攻击者将全面了解组织的风险所在，可以发起有的放矢的攻击。因此，必须妥善保护风险评估的结果。传统的风险评估一般利用Excel表格来完成，非常容易被利用E-mail，U盘等媒体传递，造成风险。

风险管理(Risk Management)：以可接受的费用识别、控制、降低或消除可能影响信息系统的安全风险的过程。风险管理通过风险评估来识别风险大小，通过制定信息安全方针，选择适当的控制目标与控制方式使风险得到避免、转移或降至一个可被接受的水平。在风险管理方面应考虑控制费用与风险之间的平衡。在风险评估和风险管理方法被应用的过程中，评估时间、力度以及具体开展的深度应与组织的环境和安全要求相称。按照风险评估的深度，风险评估方法可分为：

□ 基本的风险评估方法：对组织所面临的风险全部采用统一、简单的方法进行评估分析并确定一个安全标准，这种方法仅适用于规模小、流程简单、信息安全要求不是很高的组织；

□ 详细的风险评估方法：对信息系统中所有的部分都进行详细的评估分析； □ 联合的风险评估方法：先鉴定出一个信息系统中的高风险、关键、敏感

部分进行详细的评估分析，然后对其他的部分采取基本的评估分析。

范文五：火灾风险评估概念辨析

第一章火灾风险评估概念辨析

学习要求

通过本章学习，应了解火灾风险识别事故致因理论基本内容、火灾危险源可能带来的风险和控制危险发生的措施，掌握第一类火灾危险源和第二类火灾危险源分类方法，熟练辨识常见的第一类火灾危险源和第二类火灾危险源。

本章介绍了火灾风险识别的事故致因理论，系统介绍第一类火灾危险源和第二类火灾危险源的分类和识别过程。

火灾风险评估是查找评估对象面临的火灾风险的来源的一个过程。火灾风险识别是开展火灾风险评估工作所必需的基础环节，只有充分、全面地把握评估对象所面临的火灾风险的来源，才能完整、准确地对各类火灾风险进行分析、评判，进而采取针对性的火灾风险控制措施，确保将评估对象的火灾风险控制在可接受的范围之内。一般情况下，火灾风险的来源不是一成不变的，而是与评估对象的特点息息相关。此外，由于人们对火灾风险概念的认识不同，对火灾风险来源的理解也会存在差异，因此最终的风险识别结果也会发生一些变化，但是这种变化通常不会影响最终的评估结果，只是评估过程因人而异。总体而言，火灾风险的来源与火灾的发生发展过程密切相关，而由于火灾的发生发展过程具有一定的随机性，因此，火灾风险评估也具有较强的动态特性。

第一小节第一节火灾风险评估概念辨析

本节介绍火灾隐患、火灾危险源、火灾风险、火灾风险源、火灾危险性等火灾风险评估相关概念，具体对火灾隐患与火灾风险、火灾危险源与火灾风险源以及火灾危险、火灾

危险性与火灾风险之间的差异进行了辨析。

一、火灾隐患与火灾风险

‘’火灾隐患‘’ 是消防监督管理中常用的一个词语，又可以分为一般火灾隐患和重大火灾隐患。根据资料，较早的定义分别为：一般火灾隐患是指存在违反消防法律法规行为，这种行为有导致火灾的可能性或在火灾时会产生一定的危害后果；重大火灾隐患是指严重违反消防法律、法规行为，可能导致火灾或在火灾发生时造成重大人员伤亡或者重大财产损失。根据这两个定义，火灾隐患是首先是一种违反法律法规的行为；其次，在定义中对发生火灾的可能性及火灾发生后导致的后果进行了度量。《重大火灾隐患判定方法》（GA 653—2006）对重大火灾隐患进行了定义：重大火灾隐患是指违反消防法律法规，可能导致火灾发生或火灾危害增大，并由此可能造成特大火灾事故后果和严重社会影响的各类潜在不安全因素。从上述定义看，火灾隐患本身属于火灾风险的一个方面，但是与火灾风险相比，后者涵盖了前者的内容。比前者更为全面。开展火灾风险评估，首先就是要进行火灾隐患排查，但是火灾隐患排查不完全等同于火灾风险评估。一般情况下，凡是存在火灾隐患的地方，就一定会有火灾风险；但是有火灾风险的地方，不一定有火灾隐患。例如，在一些古文物建筑和城镇中的一些老旧场所中可能导致但火灾隐患定义是分别对火灾发生可能性和火灾后果进行度量的。最近有文献对火灾隐患和重大火灾隐患进行了定义，但没有对一般火灾隐患进行定义。其中：火灾隐患是指可能导致火灾发生或火灾危害增大的各类潜在不安全因素；重大火灾隐患是指违反消防法律法规，可能导致火灾发生或火灾危害增大，并由此可能造成特大火灾事故后果和严重社会影响的各类潜在不安全因素。然而，修改后的火灾隐患定义没有反映出违反法律法规这一前提，从字面上看，“患”本身就是一种不利的事情，应该进行治

理。但是从火灾隐患的定义表述中，并没有指明违反法律法规这一前提，既使存在不安全因素，也有可能未有相应的执法依据，只能通过协商解决。从上述定义看，火灾隐患本身属于火灾风险的一个方面，但是与火灾风险相比，后者涵盖了前者的内容，比前者更为全面。开展火灾风险评估，首先就是要进行火灾隐患排查，但是火灾隐患排查不完全等同于火灾风险评估。一般情况下，凡是存在火灾隐患的地方，就一定会有火灾风险；但是有火灾风险的地方，不一定有火灾隐患。例如：在一些古文物建筑和“城中村”等老旧场所中，由于年代较为久远，这些建筑在建时还没有相应的建筑消防设计规范，或者随着消防设计规范的修订，可接受水平的提高，一些原本符合消防设计规范的建筑而变得不符合规范，但是又没有相应的规范和法规对此进行说明。从这个意义上来说，这些建筑不存在火灾隐患，但是存在着很高的火灾风险。因此说，这二者既有联系，又有区别。火灾隐患与火灾风险的关系如图 5-2-1 所示。

二、火灾危险源与火灾风险源

早期的安全著作将影响系统安全的因素统称为危险源，分为第一类危险源和第二类危险源。按照二类危险源理论。按照危险源在事故发生、发展过程中的作用，危险源可分为以下两类：

第一类危险源是指产生能量的能量源或拥有能量的载体。它的存在是事故发生的前提，没有第一类危险源就谈不上能量或危险物质的意外释放，也就无所谓事故。由于第一类危险源在事故时释放的能量是导致人员伤害或财物损坏的能量主体，所以它决定着事故后果的严重程度。

第二类危险源是指导致约束、限制能量屏蔽措施失效或破坏的各种不安全因素。它

是第一类危险源导致事故的必要条件，如果没有第二类危险源破坏第一类危险源的控制，也就不会发生能量或危险物质的意外释放。第二类危险源出现的难易决定事故发生可能性的大小。

根据上述危险源分类，火灾中的第一类危险源包括可燃物、火灾烟气及燃烧产生的有毒、有害气体成分；第二类危险源是人们为了防止火灾发生、减小火灾损失所采取的消防措施中的隐患。对于第一类火灾危险源，人们普遍接受。按照上述表述，火灾自动报警、自动灭火系统、应急广播及疏散系统等消防措施属于第二类危险源。因此，对火灾危险源进行界定，将其含义限定为引起火灾的一些因素，同时引入火灾风险源的概念，则会容易理解。应该说，关于危险源和风险源的概念，来自不同的两个方向。危险源首先来自于理论上的定义，而风险源则来自于实践的需要，采用由实践向理论的提升，将会有更大的适用性。火灾危险源与火灾风险源的关系如图 5-2-2 所示。

三、火灾危险、火灾危险性与火灾风险

危险所表达的是某事物对人们构成的不良影响或后果等，它强调的是客体，是客观存在的随机现象；风险表达的则是人们采取了某种行动后可能面临的有害后果，

强调的是客

体，是人们将遭受的危害或需要承担的责任；’而危险性不仅指火灾事件发生的可能性，而且也包括火灾危险的程度及产生危害的后果。进步研究认为：火灾危险不仅指火灾事件的可能性，而且也包括火灾危险的程度及产生危害的后果，它强调的是客体（火灾事件本身），是客观存在的随机现象；火灾风险是对火灾引起人的生命、健康、财产和环境遭受潜在危害后果的认识，火灾风险的大小通常用火灾发生的几率乘以火灾后果的期望值来衡量。它表达的是人们采取了某种行动后可能面临的危害后果，强调的主体（火灾的危害对象），隐含人们将遭受的危害或需要承担的责任。而根据的英文翻译，似乎最初使用火灾危险性这一概念时表达的就是目前所关注的火灾风险。这些不同概念的相似性可能会导致推广和普及火灾风险评估作用的怀疑，因此，有必要对其作进一步的界定。

为了对火灾危险、火灾危险性和火灾风险这3个相似概念进行界定，此处将火灾危险、火灾危险性和火灾风险分为三个层次。火灾危险作为第一个层次，是火灾风险的基本来源，关心的目标对象能否着火的问题。如果不存在火灾危险，则火灾风险则不会存在。例如：在一幢满桌椅的建筑内，如果不使用明火、无任何电气线路和用电设备，以及无其它任何起火的原因存在，则可以认为该建筑根本不存在任何火灾风险。火灾危险性作为第二个层次，回答的是物质能否着火以及着火后会有多大的规模。在《建筑设计防火规范》（GB50016－2014）中有很多地方提及到火灾危险性，例如：“表 3.1.1 生产的火灾危险性分类” 和“表

3.1.3 贮存物品的火灾危险性分类”，从其内容看，主要是从物质的闪点、爆炸极限以及其它发生氧化燃烧或爆炸的条件进行分类，重点是针对物质的物理属性。因此，如此进行界定在大多数情况下是适用的。火灾风险作为第三个层次，回答的是物质着火的概率以及火灾发生后的预期损失情况。火灾危险、火灾危险性和火灾风险之间的关系如图 5-2-3 所示。采用这三个层次的界定，一般情况下可以解释火灾危险源评估、火灾危险性评估和火灾风险评估之间的区别。

转载请注明出处范文大全网 » 第10讲风险评估的概念