文档介绍：从我这几天看到的一些网络安全实例及网络安全论坛相关帖子,评估被很多人认为是只是一种形式,不过是走走过场而已,对实际工作无任何效果。即使已经开展了网络信息安全风险评估的某些单位,评估工作也只是流于形式,仅仅是“为了评估而评估”,没能按照评估要求达到控制风险的最终目的。其实这种看法也司空见惯,毕竟评估本身不足为一项能够立即体现其价值的工作,有人认为与其将有限的财力,精力投入到评估中去,不如直接用于实际建设。这反映了部分人还没有深层次理解网络信息安全风险评估重要性。这时我们应该做的关键任务是:让用户真正理解并且认可我们的工作成绩。因此这阶段建议需要与用户进行深入细致的沟通(需要面对面交流,以达到最佳效果)。我的看法是,随着信息化的深入,信息网络已经逐渐成为各个行业的核心资产,与此同时政府,,。不能光凭借使用者的良好愿望和基本感觉,必须要有科学、客观和正确的技术评判。我认为通过对网络的信息安全风险进行客观有效的分析评估,依据评估结果为网络系统选择适当的安全措施,“导航仪”,“风向标”的作用。经过前期的学****现在说起风险评估,我的脑海中首先浮现的是:风险、资产、影响、威胁、弱点等一连串的术语,这些术语看起来并不难理解,但一旦综合考虑就会象绕口令般组合。比如风险,用ISO/IECTR13335-1:1996中的定义可以解释为:特定威胁利用某个(些)资产的弱点,造成资产损失或破坏的潜在可能性。对于风险评估工作大致可以分为以下阶段:资产评估(可以远程完成)系统和业务信息收集资产列表资产分类与赋值资产报告资产评估的内容并不复杂,在这部份工作中,我觉得重点在于与客户共同进行资产的分类及确定核心资产,对评估工作做一个权衡。因为只有明确资产并做好权衡后才能有效进行后续的威