發(fā)布時(shí)間：2023-06-06 15:56:35
序言：寫作是分享個(gè)人見解和探索未知領(lǐng)域的橋梁，我們?yōu)槟x了8篇的風(fēng)險(xiǎn)評(píng)估的定義樣本，期待這些樣本能夠?yàn)槟峁┴S富的參考和啟發(fā)，請(qǐng)盡情閱讀。
關(guān)鍵詞：網(wǎng)絡(luò)安全；風(fēng)險(xiǎn)評(píng)估；模糊綜合評(píng)價(jià)
0 前言
網(wǎng)絡(luò)安全正逐漸成為一個(gè)國(guó)際化的問題，每年全球因計(jì)算機(jī)網(wǎng)絡(luò)的安全系統(tǒng)被破壞而造成的經(jīng)濟(jì)損失達(dá)數(shù)千億美元。網(wǎng)絡(luò)安全是一個(gè)系統(tǒng)的概念，有效的安全策略或方案的制定，是網(wǎng)絡(luò)信息安全的首要目標(biāo)。安全風(fēng)險(xiǎn)評(píng)估是建立網(wǎng)絡(luò)防護(hù)系統(tǒng)，實(shí)施風(fēng)險(xiǎn)管理程序所開展的一項(xiàng)基礎(chǔ)性工作。
然而，現(xiàn)有的評(píng)估方法在科學(xué)性、合理性方面存在一定欠缺。例如：評(píng)審法要求嚴(yán)格按照BS7799標(biāo)準(zhǔn)，缺乏實(shí)際可操作性；漏洞分析法只是單純通過簡(jiǎn)單的漏洞掃描或滲透測(cè)試等方式對(duì)安全資產(chǎn)進(jìn)行評(píng)估；層次分析法主要以專家的知識(shí)經(jīng)驗(yàn)和統(tǒng)計(jì)工具為基礎(chǔ)進(jìn)行定性評(píng)估。針對(duì)現(xiàn)有網(wǎng)絡(luò)安全評(píng)估方法中出現(xiàn)的這些問題，本文擬引用一種定性與定量相結(jié)合，綜合化程度較高的評(píng)標(biāo)方法――模糊綜合評(píng)價(jià)法。
模糊綜合評(píng)價(jià)法可根據(jù)多因素對(duì)事物進(jìn)行評(píng)價(jià)，是一種運(yùn)用模糊數(shù)學(xué)原理分析和評(píng)價(jià)具有“模糊性”的事物的系統(tǒng)分析方法，它是一種以模糊推理為主的定性與定量相結(jié)合、非精確與精確相統(tǒng)一的分析評(píng)價(jià)方法。該方法利用模糊隸屬度理論把定性指標(biāo)合理的定量化，很好的解決了現(xiàn)有網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估方法中存在的評(píng)估指標(biāo)單一、評(píng)估過程不合理的問題。
1 關(guān)于風(fēng)險(xiǎn)評(píng)估的幾個(gè)重要概念
按照ITSEC的定義對(duì)本文涉及的重要概念加以解釋：
風(fēng)險(xiǎn)(Risk)：威脅主體利用資產(chǎn)的漏洞對(duì)其造成損失或破壞的可能性。
威脅(Threat)：導(dǎo)致對(duì)系統(tǒng)或組織有害的，未預(yù)料的事件發(fā)生的可能性。
漏洞(Vulnerabmty)：指的是可以被威脅利用的系統(tǒng)缺陷，能夠增加系統(tǒng)被攻擊的可能性。
資產(chǎn)(Asset)：資產(chǎn)是屬于某個(gè)組織的有價(jià)值的信息或者資源，本文指的是與評(píng)估對(duì)象信息處理有關(guān)的信息和信息載體。
2 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估模型
2.1 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中的評(píng)估要素
從風(fēng)險(xiǎn)評(píng)估的角度看，信息資產(chǎn)的脆弱性和威脅的嚴(yán)重性相結(jié)合，可以獲得威脅產(chǎn)生時(shí)實(shí)際造成損害的成功率，將此成功率和威脅的暴露率相結(jié)合便可以得出安全風(fēng)險(xiǎn)的可能性。
可見，信息資產(chǎn)價(jià)值、安全威脅和安全漏洞是風(fēng)險(xiǎn)評(píng)估時(shí)必須評(píng)估的三個(gè)要素。從風(fēng)險(xiǎn)管理的角度看，這三者也構(gòu)成了邏輯上不可分割的有機(jī)整體：①信息資產(chǎn)的影響價(jià)值表明了保護(hù)對(duì)象的重要性和必要性。完整的安全策略體系中應(yīng)當(dāng)包含一個(gè)可接受風(fēng)險(xiǎn)的概念；②根據(jù)IS0-13335的定義，安全威脅是有能力造成安全事件并可能造成系統(tǒng)、組織和資產(chǎn)損害的環(huán)境因素。可以通過降低威脅的方法來降低安全風(fēng)險(xiǎn)，從而達(dá)到降低安全風(fēng)險(xiǎn)的目的；③根據(jù)IS0-13335的觀點(diǎn)，漏洞是和資產(chǎn)相聯(lián)系的。漏洞可能為威脅所利用，從而導(dǎo)致對(duì)信息系統(tǒng)或者業(yè)務(wù)對(duì)象的損害。同樣，也可以通過彌補(bǔ)安全漏洞的方法來降低安全風(fēng)險(xiǎn)。
從以上分析可以看出，安全風(fēng)險(xiǎn)是指資產(chǎn)外部的威脅因素利用資產(chǎn)本身的固有漏洞對(duì)資產(chǎn)的價(jià)值造成的損害，因此風(fēng)險(xiǎn)評(píng)估過程就是資產(chǎn)價(jià)值、資產(chǎn)固有漏洞以及威脅的確定過程。
即風(fēng)險(xiǎn)R＝f(z，t，v)。其中：z為資產(chǎn)的價(jià)值，v為網(wǎng)絡(luò)的脆弱性等級(jí)，t為對(duì)網(wǎng)絡(luò)的威脅評(píng)估等級(jí)。
2.2 資產(chǎn)評(píng)估
資產(chǎn)評(píng)估是風(fēng)險(xiǎn)評(píng)估過程的重要因素，主要是針對(duì)與企業(yè)運(yùn)作有關(guān)的安全資產(chǎn)。通過對(duì)這些資產(chǎn)的評(píng)估，根據(jù)組織的安全需求，篩選出重要的資產(chǎn)，即可能會(huì)威脅到企業(yè)運(yùn)作的資產(chǎn)。資產(chǎn)評(píng)估一方面是資產(chǎn)的價(jià)值評(píng)估，針對(duì)有形資產(chǎn)；另一方面是資產(chǎn)的重要性評(píng)估，主要是從資產(chǎn)的安全屬性分析資產(chǎn)對(duì)企業(yè)運(yùn)作的影響。資產(chǎn)評(píng)估能提供：①企業(yè)內(nèi)部重要資產(chǎn)信息的管理；②重要資產(chǎn)的價(jià)值評(píng)估；③資產(chǎn)對(duì)企業(yè)運(yùn)作的重要性評(píng)估；④確定漏洞掃描器的分布。
2.3 威脅評(píng)估
安全威脅是可以導(dǎo)致安全事故和信息資產(chǎn)損失的活動(dòng)。安全威脅的獲取手段主要有：IDS取樣、模擬入侵測(cè)試、顧問訪談、人工評(píng)估、策略及文檔分析和安全審計(jì)。通過以上的威脅評(píng)估手段，一方面可以了解組織信息安全的環(huán)境，另一方面同時(shí)對(duì)安全威脅進(jìn)行半定量賦值，分別表示強(qiáng)度不同的安全威脅。
威脅評(píng)估大致來說包括：①確定相對(duì)重要的財(cái)產(chǎn)，以及其價(jià)值等安全要求；②明確每種類型資產(chǎn)的薄弱環(huán)節(jié)，確定可能存在的威脅類型；③分析利用這些薄弱環(huán)節(jié)進(jìn)行某種威脅的可能性；④對(duì)每種可能存在的威脅具體分析造成損壞的能力；⑤估計(jì)每種攻擊的代價(jià)；⑥估算出可能的應(yīng)付措施的費(fèi)用。
2.4 脆弱性評(píng)估
安全漏洞是信息資產(chǎn)自身的一種缺陷。漏洞評(píng)估包括漏洞信息收集、安全事件信息收集、漏洞掃描、漏洞結(jié)果評(píng)估等。
通過對(duì)資產(chǎn)所提供的服務(wù)進(jìn)行漏洞掃描得到的結(jié)果，我們可以分析出此設(shè)備提供的所有服務(wù)的風(fēng)險(xiǎn)狀況，進(jìn)而得出不同服務(wù)的風(fēng)險(xiǎn)值。然后根據(jù)不同服務(wù)在資產(chǎn)中的權(quán)重，結(jié)合該服務(wù)的風(fēng)險(xiǎn)級(jí)別，可以最后得到資產(chǎn)的漏洞風(fēng)險(xiǎn)值。
3 評(píng)估方法
3.1傳統(tǒng)的評(píng)估方法
關(guān)于安全風(fēng)險(xiǎn)評(píng)估的最直接的評(píng)估模型就是，以一個(gè)簡(jiǎn)單的類數(shù)學(xué)模型來計(jì)算風(fēng)險(xiǎn)。即：風(fēng)險(xiǎn)＝威脅+脆弱+資產(chǎn)影響
但是，邏輯與計(jì)算需要乘積而不是和的數(shù)學(xué)模型。即：風(fēng)險(xiǎn)＝威脅x脆弱x資產(chǎn)影響
3.2 模糊數(shù)學(xué)評(píng)估方法
然而，為了計(jì)算風(fēng)險(xiǎn)，必須計(jì)量各單獨(dú)組成要素（威脅、脆弱和影響)。現(xiàn)有的評(píng)估方法常用一個(gè)簡(jiǎn)單的數(shù)字指標(biāo)作為分界線，界限兩邊截然分為兩個(gè)級(jí)別。同時(shí)，因?yàn)轱L(fēng)險(xiǎn)要素的賦值是離散的，而非連續(xù)的，所以對(duì)于風(fēng)險(xiǎn)要素的確定和評(píng)估本身也有很大的主觀性和不精確性，因此運(yùn)用以上評(píng)估算法，最后得到的風(fēng)險(xiǎn)值有很大的偏差。用模糊數(shù)學(xué)方法對(duì)網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)評(píng)估進(jìn)行研究和分析，能較好地解決評(píng)估的模糊性，也在一定程度上解決了從定性到定量的難題。在風(fēng)險(xiǎn)評(píng)估中，出現(xiàn)誤差是很普遍的現(xiàn)象。風(fēng)險(xiǎn)評(píng)估誤差的存在，增加了評(píng)估工作的復(fù)雜性，如何把握和處理評(píng)估誤差，是評(píng)估工作的難點(diǎn)之一。
在本評(píng)估模型中，借鑒了模糊數(shù)學(xué)概念和方法中比較重要的部分。這樣做是為了既能比較簡(jiǎn)單地得到一個(gè)直觀的用戶易接受的評(píng)估結(jié)果，又能充分考慮到影響評(píng)估的各因素的精度及其他一些因素，盡量消除因?yàn)樵u(píng)估的主觀性和離散數(shù)據(jù)所帶來的偏差。
（1）確定隸屬函數(shù)。
在模糊理論中，運(yùn)用隸屬度來刻畫客觀事物中大量的模糊界限，而隸屬度可用隸屬函數(shù)來表達(dá)。如在根據(jù)下面的表格確定風(fēng)險(xiǎn)等級(jí)時(shí)，當(dāng)U值等于49時(shí)為低風(fēng)險(xiǎn)，等于51時(shí)就成了中等風(fēng)險(xiǎn)。
此時(shí)如運(yùn)用模糊概念，用隸屬度來刻畫這條分界線就好得多。比如，當(dāng)U值等于50時(shí)，隸屬低風(fēng)險(xiǎn)的程度為60％，隸屬中等風(fēng)險(xiǎn)的程度為40％。
為了確定模糊運(yùn)算，需要為每一個(gè)評(píng)估因子確定一種隸屬函數(shù)。如對(duì)于資產(chǎn)因子，考慮到由于資產(chǎn)級(jí)別定義時(shí)的離散性和不精確性，致使資產(chǎn)重要級(jí)別較高的資產(chǎn)(如4級(jí)資產(chǎn))也有隸屬于中級(jí)級(jí)別資產(chǎn)（如3級(jí)資產(chǎn))的可能性，可定義如下的資產(chǎn)隸屬函數(shù)體現(xiàn)這一因素：當(dāng)資產(chǎn)級(jí)別為3時(shí)，資產(chǎn)隸屬于二級(jí)風(fēng)險(xiǎn)級(jí)別的程度為10％，隸屬于三級(jí)風(fēng)險(xiǎn)級(jí)別的程度為80％，屬于四級(jí)風(fēng)險(xiǎn)級(jí)別的程度為10％。
威脅因子和漏洞因子的隸屬度函數(shù)同樣也完全可以根據(jù)評(píng)估對(duì)象和具體情況進(jìn)行定義。
（2）建立關(guān)系模糊矩陣。
對(duì)各單項(xiàng)指標(biāo)(評(píng)估因子)分別進(jìn)行評(píng)價(jià)?？扇為各單項(xiàng)指標(biāo)的集合，則U＝(資產(chǎn)，漏洞，威脅)；取V為風(fēng)險(xiǎn)級(jí)別的集合，針對(duì)我們的評(píng)估系統(tǒng)，則V＝(低，較低，中，較高，高)。對(duì)U上的每個(gè)單項(xiàng)指標(biāo)進(jìn)行評(píng)價(jià)，通過各自的隸屬函數(shù)分別求出各單項(xiàng)指標(biāo)對(duì)于V上五個(gè)風(fēng)險(xiǎn)級(jí)別的隸屬度。例如，漏洞因子有一組實(shí)測(cè)值，就可以分別求出屬于各個(gè)風(fēng)險(xiǎn)級(jí)別的隸屬度，得出一組五個(gè)數(shù)。同樣資產(chǎn)，威脅因子也可以得出一組數(shù)，組成一個(gè)5×3模糊矩陣，記為關(guān)系模糊矩陣R。
（3）權(quán)重模糊矩陣。
一般來說，風(fēng)險(xiǎn)級(jí)別比較高的因子對(duì)于綜合風(fēng)險(xiǎn)的影響也是最大的。換句話說，高的綜合風(fēng)險(xiǎn)往往來自于那些高風(fēng)險(xiǎn)級(jí)別的因子。因此各單項(xiàng)指標(biāo)中那些風(fēng)險(xiǎn)級(jí)別比較高的應(yīng)該得到更大的重視，即權(quán)重也應(yīng)該較大。設(shè)每個(gè)單項(xiàng)指標(biāo)的權(quán)重值為β1。得到一個(gè)模糊矩陣，記為權(quán)重模糊矩陣B，則B＝(β1,β2,β3)。
（4）模糊綜合評(píng)價(jià)算法。
進(jìn)行單項(xiàng)評(píng)價(jià)并配以權(quán)重后，可以得到兩個(gè)模糊矩陣，即權(quán)重模糊矩陣B和關(guān)系模糊矩陣R。則模糊綜合評(píng)價(jià)模型為：Y＝B x R。其中Y為模糊綜合評(píng)估結(jié)果。Y應(yīng)該為一個(gè)1x 5的矩陣：Y＝(y1，y2,y3，y4，y5)。其中yi代表最后的綜合評(píng)估結(jié)果隸屬于第i個(gè)風(fēng)險(xiǎn)級(jí)別的程度。這樣，最后將得到一個(gè)模糊評(píng)估形式的結(jié)果，當(dāng)然也可以對(duì)這個(gè)結(jié)果進(jìn)行量化。比如我們可以定義N＝1×y1十2×y2十3×y3×y4十5×y5作為一個(gè)最終的數(shù)值結(jié)果。
4 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估示例
以下用實(shí)例說明基于模糊數(shù)學(xué)的風(fēng)險(xiǎn)評(píng)估模型在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中的應(yīng)用。
在評(píng)估模型中，我們首先要進(jìn)行資產(chǎn)、威脅和漏洞的評(píng)估。假設(shè)對(duì)同樣的某項(xiàng)資產(chǎn)，我們進(jìn)行了資產(chǎn)評(píng)估、威脅評(píng)估和漏洞評(píng)估，得到的風(fēng)險(xiǎn)級(jí)別分別為：4、2、2。
那么根據(jù)隸屬函數(shù)的定義，各個(gè)因子隸屬于各個(gè)風(fēng)險(xiǎn)級(jí)別的隸屬度為：
如果要進(jìn)行量化，那么最后的評(píng)估風(fēng)險(xiǎn)值為：PI= 1*0.06+2*0.48+3*0.1+4*0.32+5*0.04＝2.8。因此此時(shí)該資產(chǎn)的安全風(fēng)險(xiǎn)值為2.8。
參考文獻(xiàn)
［1］郭仲偉.風(fēng)險(xiǎn)分析與決策［M］.北京：機(jī)械工業(yè)出版社，1987.
［2］韓立巖，汪培莊.應(yīng)用模糊數(shù)學(xué)［M］.北京：首都經(jīng)濟(jì)貿(mào)易大學(xué)出版社，1998.
［3］徐小琳，龔向陽(yáng).網(wǎng)絡(luò)安全評(píng)估軟件綜述［J］.網(wǎng)絡(luò)信息安全，2001.
關(guān)鍵詞：橋梁風(fēng)險(xiǎn)；風(fēng)險(xiǎn)評(píng)估；評(píng)估方法
中圖分類號(hào)： K928 文獻(xiàn)標(biāo)識(shí)碼： A
翻譯結(jié)果重試
抱歉，系統(tǒng)響應(yīng)超時(shí)，請(qǐng)稍后再試
支持中英、中日在線互譯
支持網(wǎng)頁(yè)翻譯，在輸入框輸入網(wǎng)頁(yè)地址即可
提供一鍵清空、復(fù)制功能、支持雙語對(duì)照查看，使您體驗(yàn)更加流暢
0前言
所謂風(fēng)險(xiǎn)可以理解為現(xiàn)實(shí)狀態(tài)與預(yù)期的差異，故風(fēng)險(xiǎn)無處不在。在橋梁規(guī)劃、設(shè)計(jì)、施工、使用、維修、拆除等諸多和橋梁結(jié)構(gòu)相關(guān)的各個(gè)過程中出現(xiàn)的，對(duì)相關(guān)利益團(tuán)體的某種既定目標(biāo)造成影響的不確定事態(tài)，稱為橋梁的風(fēng)險(xiǎn)事態(tài)，即橋梁風(fēng)險(xiǎn)[1]。近年來，我國(guó)橋梁建設(shè)事業(yè)高速發(fā)展，截止2010年底，我國(guó)公路橋梁數(shù)量已經(jīng)超過65萬座，居世界第一，隨之而來的問題是在橋梁建設(shè)與使用過程中各種事故和潛在風(fēng)險(xiǎn)頻繁發(fā)生。作為公路交通咽喉的橋梁工程，是國(guó)家的重要的基礎(chǔ)設(shè)施，其投資往往巨大，一旦出現(xiàn)問題，將會(huì)對(duì)國(guó)家造成嚴(yán)重的經(jīng)濟(jì)損失。因此，對(duì)橋梁進(jìn)行風(fēng)險(xiǎn)評(píng)估具有積極的經(jīng)濟(jì)與社會(huì)效益。而所謂橋梁風(fēng)險(xiǎn)評(píng)估就是對(duì)與橋梁相關(guān)的潛在風(fēng)險(xiǎn)事態(tài)進(jìn)行識(shí)別，對(duì)其影響程度、出現(xiàn)可能性等進(jìn)行某種形式的量測(cè)，并對(duì)量測(cè)的結(jié)果進(jìn)行分析、比較、評(píng)價(jià)、處置，制定合理對(duì)策的過程。
1 常見橋梁風(fēng)險(xiǎn)事態(tài)概述
在橋梁風(fēng)險(xiǎn)評(píng)估中，橋梁風(fēng)險(xiǎn)的定義強(qiáng)調(diào)了四個(gè)問題[1]：(1)以橋梁結(jié)構(gòu)為中心，即橋梁風(fēng)險(xiǎn)事態(tài)出現(xiàn)在橋梁的生命周期內(nèi)，須與關(guān)注的橋梁結(jié)構(gòu)發(fā)生關(guān)系；（2）風(fēng)險(xiǎn)事態(tài)的出現(xiàn)具有不確定性，不確定性是構(gòu)成風(fēng)險(xiǎn)的必要條件，一定發(fā)生或是一定不發(fā)生的事件都不能構(gòu)成風(fēng)險(xiǎn)事態(tài)；（3）須與相關(guān)利益團(tuán)體既定目標(biāo)有所影響，這里所謂既定目標(biāo)往往是各種損失；（4）風(fēng)險(xiǎn)的本質(zhì)是某種事態(tài)，進(jìn)行評(píng)估前應(yīng)首先形成某種風(fēng)險(xiǎn)的量測(cè)。對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估的關(guān)鍵一步就是對(duì)風(fēng)險(xiǎn)進(jìn)行識(shí)別，對(duì)于橋梁工程而言主要有以下幾種風(fēng)險(xiǎn)事態(tài)：風(fēng)致影響的風(fēng)險(xiǎn)事態(tài)；船撞影響的風(fēng)險(xiǎn)事態(tài)；地震影響的風(fēng)險(xiǎn)事態(tài)；洪水影響的風(fēng)險(xiǎn)事態(tài)；車撞影響的風(fēng)險(xiǎn)事態(tài)等。
2 橋梁風(fēng)險(xiǎn)評(píng)估的基本流程
橋梁風(fēng)險(xiǎn)評(píng)估的主要任務(wù)就是將風(fēng)險(xiǎn)理論和方法引入橋梁工程領(lǐng)域，對(duì)現(xiàn)有的工程理論和實(shí)踐進(jìn)行補(bǔ)充和完善。風(fēng)險(xiǎn)定義、風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)估計(jì)、風(fēng)險(xiǎn)評(píng)價(jià)和風(fēng)險(xiǎn)交流是風(fēng)險(xiǎn)評(píng)估的基本組成部分。
風(fēng)險(xiǎn)定義階段需要研究者和業(yè)主進(jìn)行廣泛深入的交流，明確進(jìn)行風(fēng)險(xiǎn)評(píng)估的對(duì)象，以及業(yè)主進(jìn)行評(píng)估研究的目的，確定研究范圍，并根據(jù)問題的特點(diǎn)，確定合適的風(fēng)險(xiǎn)量測(cè)形式，收集基本的項(xiàng)目資料供后續(xù)工作使用[2]。
風(fēng)險(xiǎn)識(shí)別是根據(jù)確定的研究對(duì)象和研究目的，研究和發(fā)現(xiàn)潛在的風(fēng)險(xiǎn)事態(tài)、明確分析重點(diǎn)的過程。對(duì)于比較簡(jiǎn)單、明確的風(fēng)險(xiǎn)評(píng)估問題，其風(fēng)險(xiǎn)識(shí)別過程常?？梢曰诮?jīng)驗(yàn)進(jìn)行。
風(fēng)險(xiǎn)估計(jì)是風(fēng)險(xiǎn)評(píng)估的主要工作，包括風(fēng)險(xiǎn)概率估計(jì)、風(fēng)險(xiǎn)損失估計(jì)和風(fēng)險(xiǎn)量測(cè)。風(fēng)險(xiǎn)概率估計(jì)是對(duì)風(fēng)險(xiǎn)事態(tài)出現(xiàn)不確定性的估計(jì)。對(duì)于大多數(shù)橋梁工程領(lǐng)域內(nèi)的風(fēng)險(xiǎn)評(píng)估研究，風(fēng)險(xiǎn)概率本質(zhì)是風(fēng)險(xiǎn)事態(tài)出現(xiàn)且造成結(jié)構(gòu)或構(gòu)件失效的條件概率。
風(fēng)險(xiǎn)評(píng)價(jià)是基于風(fēng)險(xiǎn)估計(jì)的結(jié)果，考慮風(fēng)險(xiǎn)承擔(dān)者的風(fēng)險(xiǎn)態(tài)度和承受能力，對(duì)風(fēng)險(xiǎn)程度形成具體的評(píng)價(jià)結(jié)果，同時(shí)給出合理的風(fēng)險(xiǎn)對(duì)策，以便于決策者做出正確的決策。
風(fēng)險(xiǎn)控制是根據(jù)風(fēng)險(xiǎn)評(píng)價(jià)的結(jié)果對(duì)風(fēng)險(xiǎn)事態(tài)進(jìn)行事前處理及過程控制的過程，包括風(fēng)險(xiǎn)決策和風(fēng)險(xiǎn)監(jiān)控。風(fēng)險(xiǎn)決策是根據(jù)風(fēng)險(xiǎn)評(píng)價(jià)的結(jié)果，從風(fēng)險(xiǎn)對(duì)策集合中選定合適的對(duì)策處置風(fēng)險(xiǎn)；而風(fēng)險(xiǎn)監(jiān)控是指對(duì)潛在風(fēng)險(xiǎn)事態(tài)進(jìn)行檢測(cè)，并適時(shí)啟動(dòng)有關(guān)風(fēng)險(xiǎn)控制措施的過程[3]。
3 橋梁風(fēng)險(xiǎn)評(píng)估方法
有基本一致的評(píng)估目標(biāo)、穩(wěn)定的評(píng)估指標(biāo)體系和方法系統(tǒng)、解決一類橋梁風(fēng)險(xiǎn)評(píng)估問題的風(fēng)險(xiǎn)評(píng)估過程，都可以稱為一種方法?；驹u(píng)估流程是各類風(fēng)險(xiǎn)評(píng)估問題最為基本的方法。在多年的實(shí)踐過程中，工程風(fēng)險(xiǎn)評(píng)估形成了很多實(shí)用的方法。諸如蒙特卡洛模擬法、敏感性分析法、統(tǒng)計(jì)和概率法、模糊數(shù)學(xué)法、層次分析法、調(diào)查和專家打分法，這些方法具有簡(jiǎn)單、易懂以及實(shí)用的特點(diǎn)，結(jié)合不同橋梁風(fēng)險(xiǎn)的特點(diǎn)，能夠在概率和損失評(píng)價(jià)的基礎(chǔ)上快速得到評(píng)估結(jié)果[4]。
風(fēng)險(xiǎn)評(píng)估過程主要基于滿意準(zhǔn)則（主要是ALARP方法），利用定性和準(zhǔn)定量的風(fēng)險(xiǎn)評(píng)估手段，確定各種風(fēng)險(xiǎn)事態(tài)的嚴(yán)重程度和基本風(fēng)險(xiǎn)對(duì)策的過程。對(duì)于初步評(píng)估不可接受的風(fēng)險(xiǎn)或ALARP區(qū)域中的風(fēng)險(xiǎn)事態(tài)，可以考慮使用進(jìn)入第二部分，即風(fēng)險(xiǎn)決策過程。風(fēng)險(xiǎn)決策過程主要基于最優(yōu)準(zhǔn)則，使用貝葉斯方法、隨機(jī)優(yōu)勢(shì)方法等定量決策方法，以形成對(duì)嚴(yán)重風(fēng)險(xiǎn)事態(tài)的全面認(rèn)識(shí)和系統(tǒng)對(duì)策。尤其基于ALARP準(zhǔn)則的風(fēng)險(xiǎn)矩陣是滿意準(zhǔn)則決策方法中最為常用的決策方法之一，當(dāng)涉及到多種風(fēng)險(xiǎn)或單個(gè)災(zāi)害性事故的風(fēng)險(xiǎn)值難以計(jì)算時(shí)，常將事故發(fā)生的概率和相應(yīng)的后果置于一個(gè)矩陣中，該矩陣就是風(fēng)險(xiǎn)矩陣。風(fēng)險(xiǎn)矩陣可以看成離散函數(shù)形式的風(fēng)險(xiǎn)評(píng)價(jià)準(zhǔn)則形式，風(fēng)險(xiǎn)矩陣的構(gòu)造是綜合考慮風(fēng)險(xiǎn)指標(biāo)的特點(diǎn)、風(fēng)險(xiǎn)指標(biāo)的經(jīng)驗(yàn)水平劃分、決策者的風(fēng)險(xiǎn)態(tài)度后綜合形成的。利用風(fēng)險(xiǎn)矩陣進(jìn)行橋梁風(fēng)險(xiǎn)評(píng)估具有簡(jiǎn)單明了、適用范圍廣的特點(diǎn)，將ALARP準(zhǔn)則和風(fēng)險(xiǎn)矩陣結(jié)合起來，將更有助于反映決策者的風(fēng)險(xiǎn)態(tài)度和制定基本的風(fēng)險(xiǎn)對(duì)策。
4 橋梁風(fēng)險(xiǎn)評(píng)估實(shí)例綜述
近年來，國(guó)內(nèi)先后對(duì)一些重大復(fù)雜橋梁工程項(xiàng)目進(jìn)行了風(fēng)險(xiǎn)評(píng)估，如崇明越江通道風(fēng)險(xiǎn)評(píng)估、南寧大橋風(fēng)險(xiǎn)評(píng)估、蘇通大橋索塔施工風(fēng)險(xiǎn)評(píng)估、杭州灣大橋風(fēng)障設(shè)置風(fēng)險(xiǎn)評(píng)估。
崇明越江通道風(fēng)險(xiǎn)評(píng)估是國(guó)內(nèi)第一次系統(tǒng)的工程風(fēng)險(xiǎn)評(píng)估研究，該風(fēng)險(xiǎn)評(píng)估項(xiàng)目采用的分析評(píng)價(jià)方法多樣，主要采用了專家調(diào)查法、數(shù)值模擬法、等風(fēng)險(xiǎn)圖法等方法[5]。研究成果主要是對(duì)各方案風(fēng)險(xiǎn)程度進(jìn)行了排序。崇明越江通道風(fēng)險(xiǎn)評(píng)估表明決策者開始接受工程風(fēng)險(xiǎn)的概念，同時(shí)也存在風(fēng)險(xiǎn)方法多樣，評(píng)價(jià)標(biāo)準(zhǔn)不統(tǒng)一的問題。
南寧大橋是一座大跨徑外傾曲線梁非對(duì)稱式拱橋，由南寧國(guó)研公司委托同濟(jì)大學(xué)橋梁工程系承擔(dān)該橋項(xiàng)目風(fēng)險(xiǎn)評(píng)估研究。其研究目的有兩個(gè)方面：一方面是對(duì)施工方案進(jìn)行比選，另一方面是對(duì)施工和使用階段風(fēng)險(xiǎn)進(jìn)行控制。該橋初步考慮了兩種施工方案：斜吊扣掛施工和斜吊支架施工。施工過程中將面臨風(fēng)、地震、洪水、船撞以及施工工藝等多種風(fēng)險(xiǎn)。
蘇通大橋索塔施工風(fēng)險(xiǎn)評(píng)估過程采用了基于風(fēng)險(xiǎn)評(píng)估矩陣的定性評(píng)估和定量評(píng)估相結(jié)合的方法。南索塔系統(tǒng)是整個(gè)評(píng)估工作的焦點(diǎn)，風(fēng)險(xiǎn)源主要包括天氣、水文、地質(zhì)和施工技術(shù)等因素。索塔的施工質(zhì)量、進(jìn)度、安全是主要的評(píng)估目標(biāo)。
研究歸納了31項(xiàng)風(fēng)險(xiǎn)事態(tài)，并對(duì)渦振風(fēng)險(xiǎn)事態(tài)、模板風(fēng)險(xiǎn)事態(tài)、臺(tái)風(fēng)風(fēng)險(xiǎn)事態(tài)
三種顯著風(fēng)險(xiǎn)事態(tài)進(jìn)行了重點(diǎn)分析研究，并制定相應(yīng)的風(fēng)險(xiǎn)對(duì)策，并編制了風(fēng)險(xiǎn)管理手冊(cè)，以便于施工單位現(xiàn)場(chǎng)管理。
5 結(jié)論與展望
本文闡述了橋梁生命全過程中常見的風(fēng)險(xiǎn)事態(tài)及橋梁風(fēng)險(xiǎn)評(píng)估的基本流程，對(duì)現(xiàn)有的橋梁風(fēng)險(xiǎn)評(píng)估方法進(jìn)行了總結(jié)與探討。現(xiàn)代工程的復(fù)雜性、不確定性為工程風(fēng)險(xiǎn)評(píng)估發(fā)展提供了良好的應(yīng)用背景和發(fā)展前提，運(yùn)用風(fēng)險(xiǎn)評(píng)估的方法可以合理控制橋梁生命周期的風(fēng)險(xiǎn)，平衡工程參與各方的利益，最大限度降低總體成本，使得橋梁風(fēng)險(xiǎn)評(píng)估在工程建設(shè)的各個(gè)階段扮演著越來越重要的作用，因此具有廣闊的發(fā)展空間和潛力。
參考文獻(xiàn)：
[1]阮欣，陳艾榮，石雪飛.橋梁工程風(fēng)險(xiǎn)評(píng)估[M].北京：人民交通出版社，2008.
[2]阮欣.橋梁工程風(fēng)險(xiǎn)評(píng)估體系及關(guān)鍵技術(shù)研究[D].上海：同濟(jì)大學(xué)，2006，4.
【關(guān)鍵詞】風(fēng)險(xiǎn)管理；建立背景；風(fēng)險(xiǎn)評(píng)估；風(fēng)險(xiǎn)處置；批準(zhǔn)監(jiān)督；監(jiān)控審查；溝通咨詢；系統(tǒng)生命周期
當(dāng)今我們是如何看待網(wǎng)絡(luò)與信息化？對(duì)個(gè)人，人需要信息化還是信息化“綁架”人？對(duì)企事業(yè)單位和社會(huì)團(tuán)體，組織依賴信息化還是信息化成就組織？對(duì)經(jīng)濟(jì)發(fā)展，經(jīng)濟(jì)發(fā)展帶動(dòng)了信息技術(shù)還是信息技術(shù)促進(jìn)了經(jīng)濟(jì)發(fā)展？對(duì)社會(huì)穩(wěn)定，信息化的發(fā)展對(duì)社會(huì)穩(wěn)定的影響是正面的還是負(fù)面的？對(duì)國(guó)家安全，信息化是國(guó)家安全的利器還是禍害？沒有標(biāo)準(zhǔn)答案，但值得思考。檢察業(yè)務(wù)系統(tǒng)風(fēng)險(xiǎn)管理的內(nèi)容有哪些呢？我們作了以下的探討：
1.風(fēng)險(xiǎn)管理的基本架構(gòu)與概念
1.1 風(fēng)險(xiǎn)管理的基本架構(gòu)（如圖1-1所示）
1.2 風(fēng)險(xiǎn)管理工作內(nèi)容
1.2.1 風(fēng)險(xiǎn)管理工作主要內(nèi)容有：建立背景、風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)處置、批準(zhǔn)監(jiān)督、監(jiān)控審查、溝通咨詢（如圖1-2所示）。
1.2.2 系統(tǒng)生命周期中的風(fēng)險(xiǎn)管理：掌握系統(tǒng)規(guī)劃階段的風(fēng)險(xiǎn)管理工作；掌握系統(tǒng)設(shè)計(jì)階段的風(fēng)險(xiǎn)管理工作；掌握系統(tǒng)實(shí)施階段的風(fēng)險(xiǎn)管理工作；掌握系統(tǒng)運(yùn)行維護(hù)階段的風(fēng)險(xiǎn)管理工作；掌握系統(tǒng)廢棄階段的風(fēng)險(xiǎn)管理工作（如圖1-3所示）。
信息安全風(fēng)險(xiǎn)管理是信息安全保障工作中的一項(xiàng)基礎(chǔ)性工作，是需要貫穿信息系統(tǒng)生命周期，持續(xù)進(jìn)行的工作。我們的檢察業(yè)務(wù)系統(tǒng)是順應(yīng)信息化發(fā)展及業(yè)務(wù)需求的實(shí)際情況，經(jīng)過檢察系統(tǒng)多部門合作開發(fā)的符合全國(guó)檢察業(yè)務(wù)需求的背景下建立的。那么我們應(yīng)該要掌握一套完善的管理方式去做好這件事。那就是要學(xué)會(huì)風(fēng)險(xiǎn)管理運(yùn)用好風(fēng)險(xiǎn)管理的實(shí)質(zhì)內(nèi)容。
1.3 相關(guān)概念
1.3.1 通用風(fēng)險(xiǎn)管理定義是指如何在一個(gè)肯定有風(fēng)險(xiǎn)的環(huán)境里把風(fēng)險(xiǎn)減至最低的管理過程。風(fēng)險(xiǎn)管理包括對(duì)風(fēng)險(xiǎn)的量度、評(píng)估和應(yīng)變策略。理想的風(fēng)險(xiǎn)管理，是一連串排好優(yōu)先次序的過程，使引致最大損失及最可能發(fā)生的事情優(yōu)先處理、而相對(duì)風(fēng)險(xiǎn)較低的事情則押后處理。
1.3.2 檢察業(yè)務(wù)系統(tǒng)信息安全工作為什么需要風(fēng)險(xiǎn)管理方式？
常見問題：安全投資逐年增加，但看不到收益；按照國(guó)家要求或行業(yè)要求開展信息安全工作，但安全事件仍出現(xiàn)；IT安全需求很多，有限的資金應(yīng)優(yōu)先撥向哪個(gè)領(lǐng)域；當(dāng)了CIO，時(shí)刻擔(dān)心系統(tǒng)出事，無法預(yù)見可能會(huì)出什么事。
問題根源淺析：沒有根據(jù)風(fēng)險(xiǎn)優(yōu)先級(jí)做安全投資規(guī)劃，沒有抓住主要矛盾，導(dǎo)致有限資金的有效利用率低；沒有根據(jù)企業(yè)自身安全需求部署安全控制措施，沒有突出控制高風(fēng)險(xiǎn)。決策者沒有看到安全投資收益報(bào)告，資金劃撥無參考依據(jù)。沒有殘余風(fēng)險(xiǎn)清單，在什么條件可被觸發(fā)，如何做好控制?？偟膩碚f可以概括為以下三點(diǎn)：（1）信息安全風(fēng)險(xiǎn)和事件不可能完全避免，沒有絕對(duì)的安全。（2）信息安全是高技術(shù)的對(duì)抗，有別于傳統(tǒng)安全，呈現(xiàn)擴(kuò)散速度快、難控制等特點(diǎn)。（3）因此管理信息安全必須以風(fēng)險(xiǎn)管理的方式，關(guān)鍵在于如何控制、化解和規(guī)避風(fēng)險(xiǎn)，而不是完全消除風(fēng)險(xiǎn)。
風(fēng)險(xiǎn)管理是信息安全保障工作有效工作方式。好的風(fēng)險(xiǎn)管理過程可以讓機(jī)構(gòu)以最具有成本效益的方式運(yùn)行，并且使已知的風(fēng)險(xiǎn)維持在可接受的水平。好的風(fēng)險(xiǎn)管理過程使組織可以用一種一致的、條理清晰的方式來組織有限的資源并確定優(yōu)先級(jí)，更好地管理風(fēng)險(xiǎn)。而不是將保貴的資源用于解決所有可能的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)管理是一個(gè)持續(xù)的PDCA管理過程，即計(jì)劃-做-檢查-執(zhí)行循環(huán)的管理過程。也可以這樣理解，在全國(guó)使用統(tǒng)一的檢察業(yè)務(wù)系統(tǒng)，做需求分析計(jì)劃組織開發(fā)業(yè)務(wù)系統(tǒng)--全國(guó)各省市部分基層院試運(yùn)行使用--檢查業(yè)務(wù)系統(tǒng)的可行性及需要完善的報(bào)告--執(zhí)行需要完善的地方繼續(xù)開發(fā)完善。一個(gè)持續(xù)的不斷完善的管理過程。
在全國(guó)使用統(tǒng)一的檢察業(yè)務(wù)系統(tǒng)，也就會(huì)出現(xiàn)數(shù)據(jù)大集中，數(shù)據(jù)大集中天生的脆弱性就是數(shù)據(jù)集中的銷毀或丟失，這就是它與生俱來的風(fēng)險(xiǎn)，那么我們認(rèn)識(shí)了這一點(diǎn)，就應(yīng)該采用相應(yīng)的技術(shù)措施來控制風(fēng)險(xiǎn)。什么是信息安全風(fēng)險(xiǎn)管理？了解風(fēng)險(xiǎn)+控制風(fēng)險(xiǎn)=管理風(fēng)險(xiǎn)。定義一：GB/Z 24364《信息安全風(fēng)險(xiǎn)管理指南》指：信息安全風(fēng)險(xiǎn)管理是識(shí)別、控制、消除或最小化可能影響系統(tǒng)資源的不確定因素的過程。定義二：在組織機(jī)構(gòu)內(nèi)部識(shí)別、優(yōu)化、管理風(fēng)險(xiǎn)，使風(fēng)險(xiǎn)降低到可接受水平的過程。
1.3.3 正確的風(fēng)險(xiǎn)管理方法是前瞻性風(fēng)險(xiǎn)管理加反應(yīng)性風(fēng)險(xiǎn)管理。
（1）前瞻性風(fēng)險(xiǎn)管理：評(píng)估風(fēng)險(xiǎn)、實(shí)施風(fēng)險(xiǎn)決策、風(fēng)險(xiǎn)控制、評(píng)定風(fēng)險(xiǎn)管理的有效性。（2）反應(yīng)性風(fēng)險(xiǎn)管理：保護(hù)人身安全、遏制損害、評(píng)估損害、確定損害部位、修復(fù)損害部位、審查響應(yīng)過程并更新安全策略。風(fēng)險(xiǎn)管理最佳實(shí)踐。簡(jiǎn)單的例子：流行性感冒是一種致命的呼吸道疾病，美國(guó)每年都會(huì)有數(shù)以百萬計(jì)的感染者。這些感染者中，至少有100，000人必須入院治療，并且約有36，000人死亡。您可能會(huì)選擇通過等待以確定您是否受到感染，如果確實(shí)受到感染，則采用服藥治療這種方式來治療疾病。此外，您也可以選擇在流行性感冒病發(fā)季節(jié)開始之前接種疫苗。二者相結(jié)合才是最佳風(fēng)險(xiǎn)管理方法。
1.3.4 全國(guó)使用統(tǒng)一的檢察業(yè)務(wù)系信息安全風(fēng)險(xiǎn)管理的目標(biāo)是它能做好：保密性、完善性、可用性、真實(shí)性、抗抵賴性。GB/T 20984的定義，信息安全風(fēng)險(xiǎn)：人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導(dǎo)致安全事件的發(fā)生及其對(duì)組織造成的影響。信息安全風(fēng)險(xiǎn)是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失或損害的可能性。信息安全風(fēng)險(xiǎn)是指信息資產(chǎn)的保密性、完整性和可用性遭到破壞的可能性。信息安全風(fēng)險(xiǎn)只考慮那些對(duì)組織有負(fù)面影響的事件。
2.風(fēng)險(xiǎn)管理的工作內(nèi)容
2.1 背景建立是信息安全風(fēng)險(xiǎn)管理的第一步驟，確定風(fēng)險(xiǎn)管理的對(duì)象和范圍，確立實(shí)施風(fēng)險(xiǎn)管理的準(zhǔn)備，進(jìn)行相關(guān)信息的調(diào)查和分析。風(fēng)險(xiǎn)管理準(zhǔn)備：確定對(duì)象、組建團(tuán)隊(duì)、制定計(jì)劃、獲得支持。信息系統(tǒng)調(diào)查：信息系統(tǒng)的業(yè)務(wù)目標(biāo)、技術(shù)和管理上的特點(diǎn)。信息系統(tǒng)分析：信息系統(tǒng)的體系結(jié)構(gòu)、關(guān)鍵要素。信息安全分析：分析安全要求、分析安全環(huán)境。如圖2-1所示。
2.2 信息安全風(fēng)險(xiǎn)評(píng)估就是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施；為防范和化解信息安全風(fēng)險(xiǎn)，將風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地保障信息安全提供科學(xué)依據(jù)。
信息系統(tǒng)的安全風(fēng)險(xiǎn)信息是動(dòng)態(tài)變化的，只有動(dòng)態(tài)的信息安全評(píng)估才能發(fā)現(xiàn)和跟蹤最新的安全風(fēng)險(xiǎn)。所以信息安全評(píng)估是一個(gè)長(zhǎng)期持續(xù)的工作，通常應(yīng)該每隔1-3年就進(jìn)行一次全面安全風(fēng)險(xiǎn)評(píng)估。風(fēng)險(xiǎn)評(píng)估是分析確定風(fēng)險(xiǎn)的過程。風(fēng)險(xiǎn)評(píng)估的目的是控制風(fēng)險(xiǎn)。風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)管理的起點(diǎn)和基礎(chǔ)環(huán)節(jié)。風(fēng)險(xiǎn)管理是在倡導(dǎo)適度安全。
2.3 風(fēng)險(xiǎn)處理是為了將風(fēng)險(xiǎn)始終控制在可接受的范圍內(nèi)?，F(xiàn)存風(fēng)險(xiǎn)判斷：判斷信息系統(tǒng)中哪些風(fēng)險(xiǎn)可以接受，哪些不可以。處理目標(biāo)確認(rèn)：不可接受的風(fēng)險(xiǎn)需要控制到怎樣的程度。處理措施選擇：選擇風(fēng)險(xiǎn)處理方式，確定風(fēng)險(xiǎn)控制措施。處理措施實(shí)施：制定具體安全方案，部署控制措施。常用的四類風(fēng)險(xiǎn)處置方法如下：
2.3.1 減低風(fēng)險(xiǎn)：通過對(duì)面臨風(fēng)險(xiǎn)的資產(chǎn)采取保護(hù)措施來降低風(fēng)險(xiǎn)。首先應(yīng)當(dāng)考慮的風(fēng)險(xiǎn)處置措施，通常在安全投入小于負(fù)面影響價(jià)值的情況下采用。保護(hù)措施可以從構(gòu)成風(fēng)險(xiǎn)的五個(gè)方面（即威脅源、威脅行為、脆弱性、資產(chǎn)和影響）來降低風(fēng)險(xiǎn)。減低風(fēng)險(xiǎn)辦法：減少威脅源：采用法律的手段制裁計(jì)算機(jī)犯罪，發(fā)揮法律的威懾作用，從而有效遏制威脅源的動(dòng)機(jī)；減低威脅能力：采取身份認(rèn)證措施，從而抵制身份假冒這種威脅行為的能力；減少脆弱性：及時(shí)給系統(tǒng)打補(bǔ)丁，關(guān)閉無用的網(wǎng)絡(luò)服務(wù)端口，從而減少系統(tǒng)的脆弱性，降低被利用的可能性；防護(hù)資產(chǎn)：采用各種防護(hù)措施，建立資產(chǎn)的安全域，從而保證資產(chǎn)不受侵犯，其價(jià)值得到保持；降低負(fù)面影響：采取容災(zāi)備份、應(yīng)急響應(yīng)和業(yè)務(wù)連續(xù)計(jì)劃等措施，從而減少安全事件造成的影響程度。
2.3.2 轉(zhuǎn)移風(fēng)險(xiǎn)：通過將面臨風(fēng)險(xiǎn)的資產(chǎn)或其價(jià)值轉(zhuǎn)移到更安全的地方來避免或降低風(fēng)險(xiǎn)。通常只有當(dāng)風(fēng)險(xiǎn)不能被降低或避免、且被第三方（被轉(zhuǎn)嫁方）接受時(shí)才被采用。一般用于那些低概率、但一旦風(fēng)險(xiǎn)發(fā)生時(shí)會(huì)對(duì)組織產(chǎn)生重大影響的風(fēng)險(xiǎn)。在本機(jī)構(gòu)不具備足夠的安全保障的技術(shù)能力時(shí)，將信息系統(tǒng)的技術(shù)體系（即信息載體部分）外包給滿足安全保障要求的第三方機(jī)構(gòu)，從而避免技術(shù)風(fēng)險(xiǎn)。通過給昂貴的設(shè)備上保險(xiǎn)，將設(shè)備損失的風(fēng)險(xiǎn)轉(zhuǎn)移給保險(xiǎn)公司，從而降低資產(chǎn)價(jià)值的損失。
2.4 批準(zhǔn)監(jiān)督。批準(zhǔn)：是指機(jī)構(gòu)的決策層依據(jù)風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理的結(jié)果是否滿足信息系統(tǒng)的安全要求，做出是否認(rèn)可風(fēng)險(xiǎn)管理活動(dòng)的決定。監(jiān)督：是指檢查機(jī)構(gòu)及其信息系統(tǒng)以及信息安全相關(guān)的環(huán)境有無變化，監(jiān)督變化因素是否有可能引入新風(fēng)險(xiǎn)。
2.5 監(jiān)控審查的意義，監(jiān)控與審查可以及時(shí)發(fā)現(xiàn)已經(jīng)出現(xiàn)或即將出現(xiàn)的變化、偏差和延誤等問題，并采取適當(dāng)?shù)拇胧┻M(jìn)行控制和糾正，從而減少因此造成的損失，保證信息安全風(fēng)險(xiǎn)管理主循環(huán)的有效性。
3.安全風(fēng)險(xiǎn)評(píng)估實(shí)踐與國(guó)家相關(guān)政策
3.1 國(guó)家對(duì)開展風(fēng)險(xiǎn)評(píng)估工作的政策要求
3.1.1 信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號(hào)）中明確提出：“要重視信息安全風(fēng)險(xiǎn)評(píng)估工作，對(duì)網(wǎng)絡(luò)與信息系統(tǒng)安全的潛在威脅、薄弱環(huán)節(jié)、防護(hù)措施等進(jìn)行分析評(píng)估，綜合考慮網(wǎng)絡(luò)與信息系統(tǒng)的重要性、程度和面臨的信息安全風(fēng)險(xiǎn)等因素，進(jìn)行相應(yīng)等級(jí)的安全建設(shè)和管理”
3.1.2 《國(guó)家網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組〈關(guān)于開展信息安全風(fēng)險(xiǎn)評(píng)估工作的意見〉》（國(guó)信辦【2006】5號(hào)文）中明確規(guī)定了風(fēng)險(xiǎn)評(píng)估工作的相關(guān)要求：風(fēng)險(xiǎn)評(píng)估的基本內(nèi)容和原則；風(fēng)險(xiǎn)評(píng)估工作的基本要求；開展風(fēng)險(xiǎn)評(píng)估工作的有關(guān)安排。
3.2 《關(guān)于開展信息安全風(fēng)險(xiǎn)評(píng)估工作的意見》的實(shí)施要求
3.2.1 信息安全風(fēng)險(xiǎn)評(píng)估工作應(yīng)當(dāng)貫穿信息系統(tǒng)全生命周期。在信息系統(tǒng)規(guī)劃設(shè)計(jì)階段，通過信息安全風(fēng)險(xiǎn)評(píng)估工作，可以明確信息系統(tǒng)的安全需求及其安全目標(biāo)，有針對(duì)性地制定和部署安全措施，從而避免產(chǎn)生欠保護(hù)或過保護(hù)的情況。
3.2.2 在信息系統(tǒng)建設(shè)完成驗(yàn)收時(shí)，通過風(fēng)險(xiǎn)評(píng)估工作可以檢驗(yàn)信息系統(tǒng)是否實(shí)現(xiàn)了所設(shè)計(jì)的安全功能，是否滿足了信息系統(tǒng)的安全需求并達(dá)到預(yù)期的安全目標(biāo)。
3.3 《關(guān)于開展信息安全風(fēng)險(xiǎn)評(píng)估工作的意見》的管理要求
3.3.1 信息安全風(fēng)險(xiǎn)評(píng)估工作敏感性強(qiáng)，涉及系統(tǒng)的關(guān)鍵資產(chǎn)和核心信息，一旦處理不當(dāng)，反而可能引入新的風(fēng)險(xiǎn)，《意見》強(qiáng)調(diào)，必須高度重視信息安全風(fēng)險(xiǎn)評(píng)估的組織管理工作。
3.3.2 為規(guī)避由于風(fēng)險(xiǎn)評(píng)估工作而引入新的安全風(fēng)險(xiǎn)，《意見》提出以下要求：（1）參與信息安全風(fēng)險(xiǎn)評(píng)估工作的單位及其有關(guān)人員必須遵守國(guó)家有關(guān)信息安全的法律法規(guī)，并承擔(dān)相應(yīng)的責(zé)任和義務(wù)。（2）風(fēng)險(xiǎn)評(píng)估工作的發(fā)起方必須采取相應(yīng)保密措施，并與參與評(píng)估的有關(guān)單位或人員簽訂具有法律約束力的保密協(xié)議。（3）對(duì)關(guān)系國(guó)計(jì)民生和社會(huì)穩(wěn)定的基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估工作必須遵循國(guó)家的有關(guān)規(guī)定進(jìn)行。
3.3.3 加快制定和完善信息安全風(fēng)險(xiǎn)評(píng)估有關(guān)技術(shù)標(biāo)準(zhǔn)，盡快完善并頒布《信息安全風(fēng)險(xiǎn)評(píng)估指南》和《信息安全風(fēng)險(xiǎn)管理指南》等國(guó)家標(biāo)準(zhǔn)，各行業(yè)主管部門也可根據(jù)本行業(yè)特點(diǎn)制定相應(yīng)的技術(shù)規(guī)范。
3.4 2071號(hào)文件對(duì)電子政務(wù)提出要求
為落實(shí)《國(guó)家電子政務(wù)工程建設(shè)項(xiàng)目管理暫行辦法》（發(fā)改委[2007]55號(hào)令）對(duì)風(fēng)險(xiǎn)評(píng)估的要求，發(fā)改高技【2008】2071號(hào)文件《關(guān)于加強(qiáng)國(guó)家電子政務(wù)工程建設(shè)項(xiàng)目信息安全風(fēng)險(xiǎn)評(píng)估工作的通知》提出了具體要求：（相當(dāng)于“信息安全審計(jì)”）電子政務(wù)工程建設(shè)項(xiàng)目應(yīng)開展信息安全風(fēng)險(xiǎn)評(píng)估工作；評(píng)估的主要內(nèi)容應(yīng)包含：資產(chǎn)、威脅、脆弱性、已有的安全措施和殘余風(fēng)險(xiǎn)的影響等；項(xiàng)目建設(shè)單位應(yīng)在試運(yùn)行期間開展風(fēng)險(xiǎn)評(píng)估工作，作為項(xiàng)目驗(yàn)收的重要依據(jù)；項(xiàng)目驗(yàn)收申請(qǐng)時(shí)，應(yīng)提交信息安全風(fēng)險(xiǎn)評(píng)估報(bào)告；系統(tǒng)投入運(yùn)行后，應(yīng)定期開展信息安全風(fēng)險(xiǎn)評(píng)估。
參考文獻(xiàn)
[1]信息安全測(cè)評(píng)中心.信息安全保障[Z].
關(guān)鍵詞：食品安全 SPS 對(duì)策
食品是我們生活中一個(gè)十分重要的問題，同時(shí)也是一個(gè)非?，F(xiàn)實(shí)的問題：在過去幾年中，各大洲都曾卅現(xiàn)過一些因關(guān)于食品安全問題而引發(fā)的疾病，因此世界各國(guó)政府都把食品安傘提到了一個(gè)前所未有的高度。隨著經(jīng)濟(jì)全球一體化進(jìn)程的加快，由于食品貿(mào)易(比如說統(tǒng)一生產(chǎn)之后的異地銷售)，導(dǎo)致了食源性疾病更廣泛的傳播和暴發(fā)。另外，隨著城市化水平的提高，也在客觀上導(dǎo)致對(duì)食品的制作、運(yùn)輸、貯存提了更高的要求。所以，食品安全與現(xiàn)代生活關(guān)系密切，對(duì)其進(jìn)行法律規(guī)制很有必要。
一、食品安全的內(nèi)涵
安全，是～個(gè)任何時(shí)代都會(huì)被人們高度關(guān)注的問題?！冬F(xiàn)代漢語詞典》中，“安全”一詞的含義是：沒有危險(xiǎn)，不受威脅，不卅事故。孟德斯鳩在著名的《論法的精神》中講到，人的安全乃是至高無上的法律。食品安全對(duì)人類而言，是一個(gè)|卜分重要的問題。1996年，世界衛(wèi)生組織發(fā)表的《加強(qiáng)同家級(jí)食品安全性計(jì)劃指南》中定義：食品安全是對(duì)食品按其原定用途進(jìn)行制作和食用時(shí)不會(huì)使消費(fèi)者受害的一種擔(dān)保。筆者認(rèn)為，對(duì)于食品安全，不同的研究領(lǐng)域有著不同的表述。從衛(wèi)生角度而言，可以認(rèn)為是食品應(yīng)不包含有會(huì)引起消費(fèi)者急性或慢性毒害或疾病感染的因素；從法律角度，可表述為食品在各個(gè)環(huán)節(jié)(如種植、養(yǎng)殖、生產(chǎn)、加工、包裝、運(yùn)輸、貯藏、銷售、消費(fèi)等)符合周家所規(guī)定的標(biāo)準(zhǔn)或要求。由此可以看，食品安全涉及到很多方面，它既包括生產(chǎn)安全、銷售安全、經(jīng)營(yíng)安全，也包括過程安全、結(jié)果安全等。毫無疑問，在現(xiàn)代法治社會(huì)中食品安全的法律屬性是最明顯的，而各國(guó)政府和同際社會(huì)對(duì)其進(jìn)行規(guī)制充分體現(xiàn)了食品安全的法律性。
二、《SPS協(xié)定》解析
由于對(duì)食品安全問題科學(xué)認(rèn)識(shí)的不斷提高，國(guó)際問的食品貿(mào)易不斷增長(zhǎng)，導(dǎo)致了食品安全方面貿(mào)易壁壘的不斷增多。WTO為了規(guī)制食品貿(mào)易壁壘，在烏拉圭回合談判中通過了規(guī)制國(guó)家間食品貿(mào)易的<<sPs協(xié)定》(《實(shí)施衛(wèi)生與植物衛(wèi)生措施協(xié)定》)。
(一)《sPs協(xié)定》的主要內(nèi)容
《sPs協(xié)定》是世界各國(guó)為了維護(hù)國(guó)民的身體健康和安全以及保護(hù)本國(guó)動(dòng)植物的安全，對(duì)進(jìn)口產(chǎn)品制定的一系列強(qiáng)制性標(biāo)準(zhǔn)的措施。該議由引言、正文和附件二三部分組成。引言部分全面闡述了實(shí)施與食品安全有關(guān)的協(xié)議的宗旨，即：保證各成員方有權(quán)采取為保護(hù)人類、動(dòng)植物的生命或健康所必需的衛(wèi)生檢疫措施，但這些措施不得背離現(xiàn)有的科學(xué)證據(jù)，也不能對(duì)國(guó)際貿(mào)易構(gòu)成變相限制；期望通過建立一個(gè)規(guī)則和紀(jì)律的多邊框架來指導(dǎo)各成員方對(duì)衛(wèi)生檢疫措施的制定和實(shí)施；將衛(wèi)生檢疫措施對(duì)貿(mào)易的負(fù)面影響減少到最低程度。正文共l4條46項(xiàng)，包括：總則、基本權(quán)利與義務(wù)、協(xié)調(diào)一致、同等對(duì)待、風(fēng)險(xiǎn)評(píng)估以及適當(dāng)?shù)膭?dòng)植物衛(wèi)生檢疫保護(hù)水平的確定、病蟲害非疫區(qū)和低度流行區(qū)使用地區(qū)的條件、透明度、控制、檢驗(yàn)和批準(zhǔn)程序、技術(shù)援助、特殊和差別待遇、磋商和爭(zhēng)端解決、管理、執(zhí)行、最后條款。CsPS協(xié)定》的正文中體現(xiàn)了其對(duì)食品安全問題規(guī)制的主要內(nèi)容。i個(gè)附件分別是，附件1：定義，規(guī)定了正文中所涉及的主要的關(guān)鍵詞的定義解釋。附件2：動(dòng)植物衛(wèi)生檢疫規(guī)定的透明度。附件3：控制檢驗(yàn)和批準(zhǔn)程序。
(二)《sPs協(xié)定》的要點(diǎn)分析
1．“以科學(xué)為依據(jù)”實(shí)施相關(guān)措施
首先應(yīng)該明確的一點(diǎn)是，此項(xiàng)規(guī)則并非是某個(gè)條款所規(guī)定的，它是相關(guān)聯(lián)的若干條款一起組成的規(guī)則體系。(sPs協(xié)定》第2條第2款規(guī)定要求，世界貿(mào)易組織各成員方要保證任何相關(guān)措施必須以科學(xué)為依據(jù)，如果沒有充分的科學(xué)依據(jù)是不能實(shí)施有關(guān)的衛(wèi)生與植物衛(wèi)生措施的，或者已經(jīng)實(shí)施的情況下要停止實(shí)施。此規(guī)則還涉及fl~CsPS協(xié)定》第5條第2款的規(guī)定：“在進(jìn)行風(fēng)險(xiǎn)評(píng)估，各成員應(yīng)考慮現(xiàn)有的科學(xué)依據(jù)”。成員國(guó)要采取相關(guān)措施的前提是要進(jìn)行風(fēng)險(xiǎn)評(píng)估，風(fēng)險(xiǎn)評(píng)估處處體現(xiàn)了科學(xué)性。也就是說，風(fēng)險(xiǎn)評(píng)估和科學(xué)依據(jù)之間存在著密切的關(guān)系，二者是不可分離的。沒有經(jīng)過風(fēng)險(xiǎn)評(píng)估得科學(xué)的數(shù)據(jù)結(jié)果時(shí)，成員方是不應(yīng)該采取相關(guān)措施的。但是，CsPs協(xié)定》中有一條是對(duì)第2條第2款的補(bǔ)充或者說是例外，即第5條第7款。此條款規(guī)定，各成員采用的維持臨時(shí)衛(wèi)生檢疫措施所要遵循的條件是：第一，成員方是在有關(guān)科學(xué)依據(jù)不充分的情況下采取的措施。第二，可根據(jù)現(xiàn)有的有關(guān)信息，包括來自國(guó)際組織以及其他成員方實(shí)施的動(dòng)植物衛(wèi)生檢疫措施的信息，臨時(shí)采取某種動(dòng)植物衛(wèi)生檢疫措施。第二，各成員方應(yīng)尋求獲得必要的補(bǔ)充信息，以便更加客觀地評(píng)估風(fēng)險(xiǎn)。第四，各成員方應(yīng)相應(yīng)地在合理的期限內(nèi)評(píng)價(jià)動(dòng)植物衛(wèi)生檢疫措施。從中不難看出，四個(gè)條件環(huán)環(huán)相扣、相互聯(lián)系，而且是同時(shí)被使用。也就是說，某一成員國(guó)要實(shí)施第5條第7款所規(guī)定的臨時(shí)措施，這四個(gè)條件是缺一不可的。
2．成員國(guó)要在風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上才可以采取相關(guān)措施
《sPs協(xié)定》附件中對(duì)風(fēng)險(xiǎn)評(píng)估作了準(zhǔn)確的定義：風(fēng)險(xiǎn)評(píng)估是指根據(jù)可能實(shí)施的動(dòng)植物衛(wèi)生檢疫措施來評(píng)價(jià)蟲害或病害在進(jìn)口成員境內(nèi)傳人、定居或傳播的可能性，以及相關(guān)的潛在生物和經(jīng)濟(jì)后果，或評(píng)價(jià)食品、飲料或飼料中存在的添加劑、污染物、霉素或致病有機(jī)體對(duì)人類或動(dòng)植物的健康產(chǎn)生的潛在不利影響。協(xié)議第5條則列明了風(fēng)險(xiǎn)評(píng)估的相關(guān)考慮因素，主要有以下幾點(diǎn)：首先，應(yīng)該考慮到有關(guān)國(guó)際組織制定的風(fēng)險(xiǎn)評(píng)估技術(shù)；其次，在進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)各成員方應(yīng)考慮現(xiàn)有的科學(xué)依據(jù)、有關(guān)的工序和生產(chǎn)方法，有關(guān)的檢驗(yàn)、抽樣和測(cè)試方法，某些病害或蟲害的流行、病蟲害非疫區(qū)的存在．有關(guān)的生態(tài)和環(huán)境條件以及檢疫或其他處理方法；再次，各成員在評(píng)估對(duì)動(dòng)物或植物的生命或健康構(gòu)成的風(fēng)險(xiǎn)，并決定采取措施達(dá)到適當(dāng)?shù)膭?dòng)植物衛(wèi)生檢疫保護(hù)水平以防止這種風(fēng)險(xiǎn)時(shí)，應(yīng)考慮下列相關(guān)的經(jīng)濟(jì)因素：由于蟲害或病害的傳人、定居或傳播，對(duì)生產(chǎn)或銷售造成損失的潛在損害，在進(jìn)1：3成員領(lǐng)土上控制或根除病蟲害的成本，以及采用其他方法來控制風(fēng)險(xiǎn)的有關(guān)實(shí)際開支。總的來說，進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)各成員方在制定和維持動(dòng)植物衛(wèi)生檢疫措施以達(dá)到適當(dāng)?shù)膭?dòng)植物衛(wèi)生檢疫保護(hù)水平時(shí)，考慮到技術(shù)和經(jīng)濟(jì)的可行性，同時(shí)應(yīng)確保此類措施不比要獲取適當(dāng)?shù)膭?dòng)植物衛(wèi)生檢疫保護(hù)水平所要求的更具有貿(mào)易限制性。
管道風(fēng)險(xiǎn)評(píng)估的核心是風(fēng)險(xiǎn)指標(biāo)的確定。這里所采用的模糊綜合評(píng)估是對(duì)受多種因素影響的事物做出全面評(píng)估的有效的多因素決策方法，其特點(diǎn)是評(píng)估結(jié)果不是絕對(duì)地肯定或否定，而是以一個(gè)模糊集合來表示。根據(jù)影響管網(wǎng)運(yùn)行安全的各種因素，可以將危險(xiǎn)因素分為5大類：老化指標(biāo)，第三方破壞，腐蝕，設(shè)計(jì)，誤操作。風(fēng)險(xiǎn)評(píng)估指數(shù)體系是一個(gè)多級(jí)體系，每個(gè)危險(xiǎn)指標(biāo)可以再進(jìn)一步細(xì)分為分指標(biāo)，如腐蝕可以分為管道內(nèi)部腐蝕、大氣腐蝕、埋地管道土壤腐蝕等。各級(jí)體系的因素要結(jié)合實(shí)際在風(fēng)險(xiǎn)評(píng)估過程中不斷地完善，使風(fēng)險(xiǎn)評(píng)估結(jié)果能夠更加真實(shí)地反映管道風(fēng)險(xiǎn)狀況。如圖1所示，U＝｛老化指標(biāo)，第三方破壞，腐蝕指數(shù)，設(shè)計(jì)指數(shù)，錯(cuò)誤指數(shù)｝，V＝｛安全，一般，安全隱患，次危險(xiǎn)，危險(xiǎn)。
風(fēng)險(xiǎn)評(píng)估指數(shù)體系的各級(jí)指標(biāo)的權(quán)重直接影響評(píng)估結(jié)果，指標(biāo)權(quán)重要參考國(guó)內(nèi)外相關(guān)資料和文獻(xiàn)及專家經(jīng)驗(yàn)制定權(quán)重標(biāo)準(zhǔn)。指標(biāo)權(quán)重要在風(fēng)險(xiǎn)評(píng)估工作中不斷完善，使得評(píng)估結(jié)果能更加真實(shí)反映管道風(fēng)險(xiǎn)狀況。評(píng)估結(jié)果如表1所示。這說明管道風(fēng)險(xiǎn)對(duì)模糊評(píng)語“安全”的隸屬度為0．26，“一般”的隸屬度為0．31，“安全隱患”的隸屬度為0．07，“次危險(xiǎn)”的隸屬度為0．13，“危險(xiǎn)”的隸屬度為0．06。按最大隸屬度原則，對(duì)模糊評(píng)語提取Max（Bi）（i＝1，…，5）的值。即模糊評(píng)估值為0．31，得到對(duì)該管道的綜合評(píng)估為“一般”。
風(fēng)險(xiǎn)評(píng)估流程
為了保證管道風(fēng)險(xiǎn)評(píng)估過程的完整性和系統(tǒng)性，建立風(fēng)險(xiǎn)評(píng)估主要流程如下：①前期評(píng)估模型設(shè)計(jì)，主要是確定引起管道危險(xiǎn)的因素、各因素的分指標(biāo)和一些評(píng)估模型技術(shù)方案；②收集數(shù)據(jù)，主要是收集與分析管道風(fēng)險(xiǎn)評(píng)估相關(guān)的圖形和屬性信息，如管道施工、管道巡線頻率、管道防腐措施等；③選取評(píng)估模型進(jìn)行評(píng)估實(shí)施，根據(jù)評(píng)估值劃分管道危險(xiǎn)性等級(jí)；④根據(jù)評(píng)估結(jié)果進(jìn)行統(tǒng)計(jì)分析，利用GIS技術(shù)得到相應(yīng)的管道危險(xiǎn)性專題圖?？紤]到風(fēng)險(xiǎn)評(píng)估指數(shù)體系的各級(jí)指標(biāo)的權(quán)重的主觀性，模塊設(shè)計(jì)了相應(yīng)的對(duì)話框，通過自定義選擇來設(shè)置各個(gè)指標(biāo)的權(quán)重，在確定了這些風(fēng)險(xiǎn)指標(biāo)權(quán)重后，讀取數(shù)據(jù)庫(kù)管道風(fēng)險(xiǎn)數(shù)據(jù)信息，結(jié)合風(fēng)險(xiǎn)評(píng)估模型計(jì)算管道風(fēng)險(xiǎn)值，并基于GIS技術(shù)對(duì)管道風(fēng)險(xiǎn)值進(jìn)行專題顯示，如圖2所示。圖2顯示評(píng)估機(jī)制的流程
實(shí)驗(yàn)與分析
天然氣管道風(fēng)險(xiǎn)評(píng)估模塊以ArcGIS為平臺(tái)，利用CJHJ．NET開發(fā)實(shí)現(xiàn)。實(shí)驗(yàn)數(shù)據(jù)為某市天然氣管網(wǎng)地形圖及管道風(fēng)險(xiǎn)調(diào)查數(shù)據(jù)。按照管道風(fēng)險(xiǎn)評(píng)估流程對(duì)管道進(jìn)行分析評(píng)估，風(fēng)險(xiǎn)評(píng)估分析過程如圖3所示，一級(jí)指標(biāo)及二級(jí)指標(biāo)可以根據(jù)實(shí)際需要添加，所對(duì)應(yīng)的指標(biāo)權(quán)重可動(dòng)態(tài)修改，計(jì)算得到風(fēng)險(xiǎn)評(píng)估結(jié)果如圖4所示，并根據(jù)管道風(fēng)險(xiǎn)等級(jí)將管道以5種顏色進(jìn)行相對(duì)風(fēng)險(xiǎn)評(píng)估結(jié)果的專題可視化顯示（見圖5），圖中沿道路的管道風(fēng)險(xiǎn)等級(jí)呈現(xiàn)為次危險(xiǎn)，應(yīng)引起足夠重視。
結(jié)束語
關(guān)鍵詞：火災(zāi)風(fēng)險(xiǎn)評(píng)估；安全檢查表；層次分析法；模糊綜合評(píng)價(jià)法
Fire Risk Evaluation of Large Public Building
An Jun-hong ，Yao Cheng-yuan，
（Postgraduate Office， Chinese People’s Institute of Armed Police Force ， Langfang 065000，China）
Abstract： safety checklist and fuzzy comprehensive evaluation on the basis of AHP are used to analyze fire risk of one selected large public building. Qualitative and Semi-quantitative fire risk assessment methods are explained in detail and fire risk grade is given.
Keyword： fire risk evaluation； safety cheklist ；analytic hierarchy process；fuzzy comprehensive evaluation.
火災(zāi)風(fēng)險(xiǎn)分析是火災(zāi)安全科學(xué)的重要組成部分。通過火災(zāi)風(fēng)險(xiǎn)分析可以對(duì)引起火災(zāi)的因素進(jìn)行識(shí)別，從而判斷火災(zāi)發(fā)生的概率以及后果，為制定有效的防火措施提供依據(jù)。一般地，建筑火災(zāi)風(fēng)險(xiǎn)評(píng)估的方法主要分為定性、半定量和定量風(fēng)險(xiǎn)評(píng)估方法三大類。本文選擇的建筑是一大型公共建筑，其基本情況為建筑總高97m，總建筑面積為228468 m2，地上共24層，地下2層。其中地下1層為超市和停車庫(kù)、地下2層為停車庫(kù)，1至4層為綜合性商場(chǎng)，地上5至24層為高檔辦公樓。該大樓的消防設(shè)施及運(yùn)行情況基本符合標(biāo)準(zhǔn)，配備的消防設(shè)備比較先進(jìn)，員工的消防意識(shí)較強(qiáng)，也會(huì)定期對(duì)相關(guān)人員進(jìn)行專業(yè)培訓(xùn)；但由于經(jīng)營(yíng)者眾多，經(jīng)常會(huì)在通道上堆物，影響安全疏散，管理上也比較松散，消防設(shè)備也由于管理問題，經(jīng)常會(huì)出現(xiàn)故障。
1.定性火災(zāi)風(fēng)險(xiǎn)評(píng)估法：安全檢查表法
安全檢查表是指參照火災(zāi)安全規(guī)范、標(biāo)準(zhǔn)，系統(tǒng)地對(duì)一個(gè)可能發(fā)生的火災(zāi)環(huán)境進(jìn)行科學(xué)分析，找出各種火災(zāi)危險(xiǎn)源，依據(jù)檢查表中的項(xiàng)目把找出的危險(xiǎn)源以問題清單形式給出制成表，以便于安全檢查和火災(zāi)安全工程管理。安全檢查表分析法就是制定安全檢查表，并依據(jù)此表實(shí)施安全檢查和火災(zāi)危險(xiǎn)控制，這是定性評(píng)估火災(zāi)風(fēng)險(xiǎn)所常用的一種方法。
本文采用安全檢查表與風(fēng)險(xiǎn)矩陣相結(jié)合的方法對(duì)該場(chǎng)所進(jìn)行定性火災(zāi)風(fēng)險(xiǎn)評(píng)估，其具體流程如圖1.1所示。以下即為按照該流程圖對(duì)該歌舞廳進(jìn)行火災(zāi)風(fēng)險(xiǎn)評(píng)估的過程。
1.1危險(xiǎn)源種類
在考慮該建筑物的實(shí)際情況的基礎(chǔ)上，根據(jù)《消防監(jiān)督檢查規(guī)定》中第九條，對(duì)公眾聚集場(chǎng)所投入使用、營(yíng)業(yè)前進(jìn)行消防安全檢查應(yīng)當(dāng)檢查的內(nèi)容的規(guī)定，對(duì)其存在的火災(zāi)隱患按照危險(xiǎn)源種類的不同進(jìn)行識(shí)別，具體如圖1.2所示。
1.2安全檢查表的制定
根據(jù)危險(xiǎn)源的定義，結(jié)合所檢查的內(nèi)容，分別對(duì)各類危險(xiǎn)源進(jìn)行有效辨識(shí)，制定出符合該類建筑實(shí)際情況的安全檢查表，如表1.1所示。
1.3風(fēng)險(xiǎn)矩陣的繪制
風(fēng)險(xiǎn)矩陣是一種有效的風(fēng)險(xiǎn)管理工具，它由可應(yīng)用于分析項(xiàng)目或采取的某種方法的潛在風(fēng)險(xiǎn)。根據(jù)NFPA的相關(guān)規(guī)定，火災(zāi)發(fā)生的可能性可以定性地分為頻繁、可能、偶爾、很小和不太可能五個(gè)等級(jí)，將火災(zāi)發(fā)生后可能造成的后果的嚴(yán)重程度同樣定性的分為災(zāi)難性、嚴(yán)重、中等和可忽略五個(gè)等級(jí)，各等級(jí)的定義如表1.2所示，它們共同構(gòu)成風(fēng)險(xiǎn)矩陣，如圖1.3所示。
1.4估計(jì)各措施的等級(jí)
根據(jù)建筑中消防措施的設(shè)置和實(shí)施，將其劃分為報(bào)警系統(tǒng)、滅火系統(tǒng)、人員疏散、單位自身監(jiān)管和消防救援五大類。通過安全檢查表中對(duì)各項(xiàng)措施的評(píng)價(jià)與風(fēng)險(xiǎn)矩陣中各等級(jí)的定義相結(jié)合，可對(duì)各項(xiàng)安全措施的等級(jí)進(jìn)行估計(jì)。
對(duì)于第一類危險(xiǎn)源即可燃物，其影響的是建筑物發(fā)生火災(zāi)后火災(zāi)的危害后果嚴(yán)重程度。由于該被評(píng)估場(chǎng)所室內(nèi)材料不符合室內(nèi)裝修材料消防技術(shù)標(biāo)準(zhǔn)，室內(nèi)可燃物較多，因此一旦發(fā)生火災(zāi)蔓延迅速并可能造成嚴(yán)重?fù)p失，根據(jù)危害后果等級(jí)的定義，將其危害后果估計(jì)為“嚴(yán)重”。
對(duì)于第二類危險(xiǎn)源，其影響的是建筑物發(fā)生火災(zāi)的可能性。根據(jù)文獻(xiàn)中對(duì)各種系統(tǒng)誤報(bào)的統(tǒng)計(jì)數(shù)據(jù)可大體確定報(bào)警系統(tǒng)和滅火系統(tǒng)的誤報(bào)率和滅火成功率，再結(jié)合風(fēng)險(xiǎn)矩陣中對(duì)可能性等級(jí)的定義，可將其導(dǎo)致危害的可能性等級(jí)進(jìn)行估計(jì)，如表1.3所示
1.5將各措施填入風(fēng)險(xiǎn)矩陣
通過建筑物內(nèi)消防措施的可能性等級(jí)和火災(zāi)發(fā)生的嚴(yán)重程度等級(jí)，可將具體的消防措施對(duì)應(yīng)填入風(fēng)險(xiǎn)矩陣中，如圖1.4所示。
1.6對(duì)建筑物進(jìn)行綜合風(fēng)險(xiǎn)評(píng)估
由風(fēng)險(xiǎn)矩陣可知，由風(fēng)險(xiǎn)矩陣可以得知，單位自身監(jiān)管、人員疏散、報(bào)警系統(tǒng)和滅火系統(tǒng)屬于高風(fēng)險(xiǎn)級(jí)，消防救援屬于中等風(fēng)險(xiǎn)級(jí)，高風(fēng)險(xiǎn)矩陣居多，故而，該建筑的火災(zāi)風(fēng)險(xiǎn)屬于不可接受風(fēng)險(xiǎn)。由于定性的火災(zāi)風(fēng)險(xiǎn)評(píng)估方法所涉及的主觀因素加多，常會(huì)導(dǎo)致評(píng)估結(jié)果的誤差較大，會(huì)造成對(duì)建筑物火災(zāi)風(fēng)險(xiǎn)的評(píng)估失真。
2半定量風(fēng)險(xiǎn)評(píng)估法：基于層次分析法的模糊綜合評(píng)價(jià)法
火災(zāi)風(fēng)險(xiǎn)評(píng)估是通過分析影響火災(zāi)發(fā)生和發(fā)展的各種因素，充分利用歷史數(shù)據(jù)，在系統(tǒng)防滅火安全分析的基礎(chǔ)上，對(duì)系統(tǒng)的火災(zāi)風(fēng)險(xiǎn)進(jìn)行評(píng)價(jià)。風(fēng)險(xiǎn)評(píng)估有多種方法，本文選取層次分析法對(duì)該建筑進(jìn)行火災(zāi)風(fēng)險(xiǎn)評(píng)估。該法適用于多準(zhǔn)則、多目標(biāo)的復(fù)雜問題的分析和評(píng)價(jià)，其分析過程涉及的數(shù)據(jù)量不大，但要求分析人員明確問題所包含的要素及其相互關(guān)系，把定性分析與定最分析有機(jī)地結(jié)合起來，通過系統(tǒng)化、數(shù)學(xué)化和模型化的思維過程，統(tǒng)一地優(yōu)化處理。
2.1指標(biāo)體系的建立
根據(jù)綜合樓的具體情況分析，本文采取了三層次指標(biāo)體系，目標(biāo)層包括建筑環(huán)境因素、建筑防火、消防設(shè)備因素、管理因素，再針對(duì)準(zhǔn)則層和指標(biāo)層對(duì)目標(biāo)層進(jìn)一步地細(xì)化，可得指標(biāo)體系表格如下表，表2.1
2.2構(gòu)造判斷矩陣，并求解各指標(biāo)相對(duì)權(quán)重
根據(jù)消防工作的實(shí)際經(jīng)驗(yàn)，對(duì)目標(biāo)層、準(zhǔn)則層和指標(biāo)層各自所包含的因素，利用1-9標(biāo)度法進(jìn)行量化處理，而后建立各自的判斷矩陣。因素之間相對(duì)重要性的取值，見表2.2
由前面的指標(biāo)體系可知，該建筑分為三個(gè)層次，即A、B、C三個(gè)層次。通過對(duì)下層內(nèi)各因素對(duì)上一層元素影響的相對(duì)重要程度，按照1～9標(biāo)度法進(jìn)行打分，標(biāo)準(zhǔn)如圖2.2所示，得到判斷矩陣，并逐級(jí)向前判定，直至最高層，即A層。
故而，
故λmax，=0.67/（0.17*4）+1.33/（0.33*4）+1.33/（0.33*4）+0.67/（0.17*4）=4
滿足一致性檢驗(yàn)，所得比較矩陣的結(jié)果可以接受。
同理，可以求得不同目標(biāo)層、準(zhǔn)則層和指標(biāo)層各自所包含的因素的權(quán)重值，具體值見表2.1。
2.3建立指標(biāo)評(píng)價(jià)尺度和系統(tǒng)評(píng)價(jià)等級(jí)
確立了評(píng)價(jià)指標(biāo)體系以及各個(gè)評(píng)價(jià)指標(biāo)的權(quán)重，還需要建立指標(biāo)評(píng)價(jià)尺度和系統(tǒng)評(píng)價(jià)等級(jí)，編制調(diào)查表，用于對(duì)具體對(duì)象進(jìn)行定量的評(píng)估。一般的指標(biāo)評(píng)價(jià)尺度分為五級(jí)，見表2.3，系統(tǒng)評(píng)價(jià)等級(jí)分為五級(jí)，見表2.4。
2.4建立指標(biāo)評(píng)價(jià)尺度和系統(tǒng)評(píng)價(jià)等級(jí)
火災(zāi)風(fēng)險(xiǎn)調(diào)查表就是根據(jù)相關(guān)法規(guī)、標(biāo)準(zhǔn)及規(guī)范，結(jié)合工作實(shí)踐經(jīng)驗(yàn)，對(duì)每個(gè)指標(biāo)給出得分并繪制而成的表。由于各地區(qū)的具體情況不同，不能有一個(gè)通用的調(diào)查表，以耐火等級(jí)和建筑高度兩個(gè)指標(biāo)的得分要求為例（見表2.5），說明編制方法和應(yīng)用。
權(quán)重%（Wi）為表2.1中該指標(biāo)的累積權(quán)重值。根據(jù)被評(píng)估建筑的實(shí)際情況，該指標(biāo)符合評(píng)分要求中哪一項(xiàng)，該項(xiàng)對(duì)應(yīng)的評(píng)分與權(quán)重的乘積，即為該指標(biāo)的最終得分（P）。將全部指標(biāo)的得分（P）相加得到系統(tǒng)的安全得分，再用表2.4查找系統(tǒng)安全評(píng)價(jià)等級(jí)，即可得出該綜合樓建筑的安全等級(jí)。
關(guān)鍵詞：D數(shù)理論；洪澇災(zāi)害；風(fēng)險(xiǎn)評(píng)估；危險(xiǎn)性
1、引言
洪澇災(zāi)害脆弱性是指一定社會(huì)背景下，某孕災(zāi)環(huán)境內(nèi)特定承災(zāi)體易受到致災(zāi)洪水的破壞或損失的特性。危險(xiǎn)性評(píng)估是對(duì)風(fēng)險(xiǎn)區(qū)遭受不同強(qiáng)度洪水的破壞的特性進(jìn)行定量評(píng)估分析。目前，對(duì)于洪災(zāi)危險(xiǎn)性評(píng)估的研究很多，萬君等[1]應(yīng)用GIS技術(shù)，通過研究洪災(zāi)危險(xiǎn)性和社會(huì)經(jīng)濟(jì)脆弱性，對(duì)湖北省洪災(zāi)風(fēng)險(xiǎn)進(jìn)行了評(píng)估；馬國(guó)斌等[2]借助自然災(zāi)害風(fēng)險(xiǎn)理論，用歸一化和層次分析法，對(duì)全國(guó)進(jìn)行了短時(shí)洪災(zāi)危險(xiǎn)性評(píng)估；潘安定等[3]對(duì)廣州市洪水災(zāi)害危險(xiǎn)性進(jìn)行了數(shù)字化分析，得到了各指標(biāo)對(duì)洪災(zāi)影響程度的柵格圖層。但評(píng)估中不確定信息的表示問題一直未得到很好的解決?；诖耍疚慕Y(jié)合D數(shù)理論，給出了洪澇災(zāi)害危險(xiǎn)性評(píng)估過程的具體步驟。
2、D數(shù)理論
D數(shù)理論[4]是鄧勇在證據(jù)理論的基礎(chǔ)上提出的一種不確定性推理理論，。
定x1[4]設(shè)Ω是一個(gè)識(shí)別框架，對(duì)于映射D：Ω[0，1]，滿足
，
則把映射D叫做D數(shù)，其中 是空集，A∈2Ω。
定義2[4] 設(shè)有兩個(gè)D數(shù)D1和D2，則 ，即：
D（b）=v （1）
其中 ，
其中 ， 。
定義3[4] D數(shù)融合法則： （2）
其中ωj為Dj的權(quán)重， 為 從小到大排序所對(duì)應(yīng)的下標(biāo)j.
定義4[4] D數(shù)的集成： （3）
3、基于D數(shù)理論的洪澇災(zāi)害危險(xiǎn)性評(píng)估過程
Step：1：建立風(fēng)險(xiǎn)評(píng)估指標(biāo)體系
本文結(jié)合湖南省的實(shí)際情況，建立了如下洪澇災(zāi)害危險(xiǎn)性評(píng)估指標(biāo)體系（見表1）。Step2：指標(biāo)體系的D數(shù)表示
首先我們需要確定一個(gè)評(píng)價(jià)等級(jí)，本文結(jié)合Khan[5]和Pun[6]的方法，將評(píng)價(jià)標(biāo)準(zhǔn)分為5個(gè)等級(jí)，分別為-2、-1、0、1、2，分別表示“高的負(fù)面影響”、“低的負(fù)面影響”、“無影響”、“低的正面影響”、“高的正面影響”。在此基礎(chǔ)上將各評(píng)價(jià)指標(biāo)用D數(shù)表示[7]。
Step3：D數(shù)融合
根據(jù)公式（1）-（2）將評(píng)級(jí)對(duì)象融合為一個(gè)D數(shù)。這里我們?cè)O(shè)定所有指標(biāo)的權(quán)重均為1。
Step4：計(jì)算洪澇災(zāi)害的風(fēng)險(xiǎn)并排序
根據(jù)公式（3），計(jì)算出各地的I（D）并排序， I（D）越大，代表其洪災(zāi)危險(xiǎn)性越大。
3、實(shí)例研究
以湖南省為例，計(jì)算每個(gè)城市的洪災(zāi)脆弱性風(fēng)險(xiǎn)，并排序。
Step1：根據(jù)表1設(shè)定的評(píng)價(jià)標(biāo)準(zhǔn)。請(qǐng)十位專家對(duì)湖南省14個(gè)地州市的各指標(biāo)進(jìn)行評(píng)價(jià)，并將結(jié)果用D數(shù)表示（見表3）。
Step2：根據(jù)公式（2）-（3）對(duì)每個(gè)城市的D數(shù)進(jìn)行融合，再通過公式（1）計(jì)算出每個(gè)城市的 ，結(jié)果見表3。
4、結(jié)論
本文在對(duì)當(dāng)前洪澇災(zāi)害危險(xiǎn)性評(píng)估總結(jié)的基礎(chǔ)上，針對(duì)評(píng)估中不確定信息的表示問題，提出了基于D數(shù)理論的洪澇災(zāi)害危險(xiǎn)性評(píng)估方法，建立了洪澇災(zāi)害危險(xiǎn)性評(píng)估指標(biāo)體系，并以湖南省14個(gè)地州市為例證明了方法的可行性。
參考文獻(xiàn)：
[1] 萬君， 周月華， 王迎迎.基于 GIS 的湖北省區(qū)域洪澇災(zāi)害風(fēng)險(xiǎn)評(píng)估方法研究[ J ] .暴雨災(zāi)害， 2007
[2] 馬國(guó)斌， 蔣衛(wèi)國(guó)， 李京，等. 中國(guó)短時(shí)洪澇災(zāi)害危險(xiǎn)性評(píng)估與驗(yàn)證[J]. 地理研究， 2012， 31（1）：34-44.
[3] 潘安定， 劉會(huì)平， 陳碧珊，等. 廣州市洪水災(zāi)害危險(xiǎn)性評(píng)價(jià)初步研究[J]. 自然災(zāi)害學(xué)報(bào)， 2 1 （4）：2328.
[4] Deng Y.D numbers： Theory and Applications[J].Journal of Information and Computational Science， 2012，9（9）： 2421-2428.
[5] Khan M H， Fitzcharles K， Environmental management ？eld handbook for ruralroad improvement projects[M]， CARE International Bangladesh， Dhaka， 1998.
[6] Pun K F， Hui I K， Lewis W G， et al. A multiple-criteria environmental impact assessment for the plastic injection molding process： a methodology[J]. Journal of Cleaner Production， 2003， 11（1）：41-49.
[7] Deng X， Hu Y， Deng Y， et al. Environmental impact assessment based on D numbers[J]. Expert Systems with Applications An International Journal， 2014， 41（2）：635-643.
查找信息資產(chǎn)存在的漏洞，結(jié)合現(xiàn)有控制措施，分析這些威脅被利用的可能性和造成的影響，根據(jù)可能性和影響評(píng)估風(fēng)險(xiǎn)的大小，提出風(fēng)險(xiǎn)控制措施的過程?！秶?guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》在2003年9月被提上日程（簡(jiǎn)稱27號(hào)文），提出了“信息安全風(fēng)險(xiǎn)評(píng)估是信息安全保障的重要基礎(chǔ)性工作之一”。為了貫徹27號(hào)文的精神，進(jìn)一步識(shí)別信息系統(tǒng)存在的風(fēng)險(xiǎn)，并對(duì)其進(jìn)行控制，很多單位啟動(dòng)了風(fēng)險(xiǎn)評(píng)估項(xiàng)目。而風(fēng)險(xiǎn)評(píng)估項(xiàng)目又不同于一般的IT項(xiàng)目，有其自身的特點(diǎn)。
2信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的過程管理
可以從五個(gè)方面解釋信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的生命周期，即數(shù)據(jù)收集、計(jì)劃準(zhǔn)備、數(shù)據(jù)分析、項(xiàng)目驗(yàn)收、報(bào)告撰寫，其中一三五是風(fēng)險(xiǎn)評(píng)估的主要實(shí)施階段。
2.1計(jì)劃準(zhǔn)備階段
（1）制定項(xiàng)目章程。在信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目中，應(yīng)盡早確認(rèn)并任命項(xiàng)目經(jīng)理，最好在制定項(xiàng)目章程時(shí)就任命。項(xiàng)目經(jīng)理的職責(zé)首先就在于應(yīng)該參與制定項(xiàng)目章程，而該章程則具有授權(quán)的作用，即它能夠使得經(jīng)理能夠運(yùn)用組織資源來進(jìn)行項(xiàng)目的實(shí)施。顯而易見，項(xiàng)目經(jīng)理是被授權(quán)的一方，必然不能成為授權(quán)項(xiàng)目運(yùn)行有效的一方。授權(quán)項(xiàng)目啟動(dòng)的人一般而言能夠提供實(shí)施項(xiàng)目所需要的資金等資源，他們能夠參與章程的編制。
（2）確定風(fēng)險(xiǎn)評(píng)估范圍。確定風(fēng)險(xiǎn)評(píng)估范圍即要了解什么方面或者對(duì)象具有風(fēng)險(xiǎn)爆發(fā)的可能，例如公司的服務(wù)器數(shù)目、電腦操作系統(tǒng)的安全性和穩(wěn)定性、應(yīng)用的防火墻種類和數(shù)目等，甚至一些人為的因素也是重要的參考。
（3）明確風(fēng)險(xiǎn)評(píng)估成果。在信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目中，應(yīng)該在項(xiàng)目開始之前，與客戶將項(xiàng)目提交的成果及要求確定下來。明確風(fēng)險(xiǎn)評(píng)估成果之后，在項(xiàng)目執(zhí)行過程中，該目標(biāo)也應(yīng)該作為項(xiàng)目驗(yàn)收的標(biāo)準(zhǔn)。
（4）制定項(xiàng)目實(shí)施方案。項(xiàng)目實(shí)施方案是項(xiàng)目活動(dòng)實(shí)施的具體流程，主要用來為項(xiàng)目實(shí)施提供技術(shù)指導(dǎo)。
（5）制定項(xiàng)目管理計(jì)劃。如果想要計(jì)劃實(shí)施過程一切順利，或者說對(duì)定義等計(jì)劃行動(dòng)的過程需要記錄的話，就會(huì)需要制定一個(gè)項(xiàng)目管理計(jì)劃。項(xiàng)目管理計(jì)劃需要通過不斷更新來漸進(jìn)明細(xì)。項(xiàng)目管理計(jì)劃不能冗余，相反應(yīng)該極其精煉，但是精煉并不意味著簡(jiǎn)單，相反項(xiàng)目管理計(jì)劃應(yīng)詳細(xì)論述和解釋完成這個(gè)項(xiàng)目所需要的一些條件。
（6）組建項(xiàng)目團(tuán)隊(duì)。一個(gè)優(yōu)秀的項(xiàng)目團(tuán)隊(duì)是完成項(xiàng)目所必不可少的，是一種必須的人力資源。在項(xiàng)目開始時(shí)，一般而言，由項(xiàng)目經(jīng)理來決定優(yōu)秀團(tuán)隊(duì)的組成，并且在組建團(tuán)隊(duì)時(shí)應(yīng)該注意談判技巧。
（7）召開項(xiàng)目啟動(dòng)會(huì)。項(xiàng)目啟動(dòng)會(huì)代表著一個(gè)項(xiàng)目從此開始了正式的運(yùn)作，是一個(gè)項(xiàng)目的啟動(dòng)階段，在項(xiàng)目啟動(dòng)會(huì)上需要完成的任務(wù)包括分析評(píng)估完成項(xiàng)目所需要的方法和成本等問題。
（8）風(fēng)險(xiǎn)評(píng)估培訓(xùn)。風(fēng)險(xiǎn)評(píng)估培訓(xùn)是對(duì)項(xiàng)目團(tuán)隊(duì)成員及客戶的項(xiàng)目參與者就風(fēng)險(xiǎn)評(píng)估方法、評(píng)估過程的相關(guān)細(xì)節(jié)性進(jìn)行培訓(xùn)，以便項(xiàng)目能順利實(shí)施。
2.2數(shù)據(jù)收集階段
主要包括收集資料、現(xiàn)場(chǎng)技術(shù)評(píng)估、現(xiàn)場(chǎng)管理評(píng)估三項(xiàng)任務(wù)。
（1）收集資料。數(shù)據(jù)收集階段最開始的步驟肯定是收集資料，簡(jiǎn)而言之，收集資料就是采取一切可行的方法，盡可能詳細(xì)地獲得和項(xiàng)目相關(guān)的一些信息，例如客戶的行為習(xí)慣、客戶業(yè)務(wù)相關(guān)的文檔，甚至信息安全系統(tǒng)、信息化流程等信息都要盡量詳細(xì)化。
（2）現(xiàn)場(chǎng)技術(shù)評(píng)估?，F(xiàn)場(chǎng)技術(shù)評(píng)估就是通過漏洞掃描、問卷調(diào)查、現(xiàn)場(chǎng)訪談、主機(jī)配置審計(jì)、現(xiàn)場(chǎng)勘查等手段對(duì)評(píng)估對(duì)象進(jìn)行評(píng)估。
（3）現(xiàn)場(chǎng)管理評(píng)估?，F(xiàn)場(chǎng)管理評(píng)估是最后一個(gè)步驟，但是卻非常重要，它不僅關(guān)系著此次項(xiàng)目運(yùn)行成功與否，還關(guān)系到以后項(xiàng)目效率的改進(jìn)，現(xiàn)場(chǎng)評(píng)估需要對(duì)項(xiàng)目進(jìn)展的流程進(jìn)行綜合分析，找出不足之處，尋出與優(yōu)秀的項(xiàng)目管理之間的差距，歸納總結(jié)，從而完善管理程序。
2.3數(shù)據(jù)分析階段
收集數(shù)據(jù)階段已經(jīng)收集了很多的數(shù)據(jù)存量，想要發(fā)現(xiàn)數(shù)據(jù)的內(nèi)在規(guī)律，從而發(fā)現(xiàn)有用的東西，就必須對(duì)數(shù)據(jù)進(jìn)行詳細(xì)分析，只有仔細(xì)分析數(shù)據(jù)，才能夠發(fā)現(xiàn)項(xiàng)目的風(fēng)險(xiǎn)所在，從而確定風(fēng)險(xiǎn)的大小，找出其資產(chǎn)、弱點(diǎn)、風(fēng)險(xiǎn)。
2.4報(bào)告撰寫階段
對(duì)收集到的數(shù)據(jù)進(jìn)行了詳細(xì)分析，得到初步的結(jié)論以后，就到了報(bào)告撰寫階段，即在數(shù)據(jù)分析的基礎(chǔ)上，制作一份報(bào)告，論述項(xiàng)目的風(fēng)險(xiǎn)問題。
（1）撰寫風(fēng)險(xiǎn)評(píng)估報(bào)告。風(fēng)險(xiǎn)評(píng)估報(bào)告應(yīng)該將風(fēng)險(xiǎn)分析的結(jié)果直觀地、形象地表達(dá)出來，讓管理層清楚地了解當(dāng)前信息系統(tǒng)存在的風(fēng)險(xiǎn)。
（2）撰寫整改報(bào)告。整改報(bào)告則是根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，提出對(duì)風(fēng)險(xiǎn)進(jìn)行管理與控制的過程?？煞譃榘踩庸探ㄗh、安全體系結(jié)構(gòu)建議、安全管理建議三種。
2.5項(xiàng)目驗(yàn)收階段
在完成了以上的步驟以后，理論上就可以對(duì)項(xiàng)目進(jìn)行驗(yàn)收了，項(xiàng)目驗(yàn)收即對(duì)前期風(fēng)險(xiǎn)評(píng)估成果的檢驗(yàn)，一般包括三項(xiàng)內(nèi)容，即報(bào)告的評(píng)審、組織會(huì)議討論驗(yàn)收事宜以及內(nèi)部項(xiàng)目總結(jié)。
（1）報(bào)告評(píng)審報(bào)告評(píng)審就是對(duì)風(fēng)險(xiǎn)評(píng)估報(bào)告及整改報(bào)告進(jìn)行評(píng)審。
（2）召開項(xiàng)目驗(yàn)收會(huì)即對(duì)項(xiàng)目的成果進(jìn)行匯報(bào)。
（3）內(nèi)部項(xiàng)目總結(jié)不僅僅是單純的對(duì)項(xiàng)目實(shí)施過程的一次簡(jiǎn)單的回顧，還是一個(gè)經(jīng)驗(yàn)總結(jié)的過程，回顧過去，把握現(xiàn)在，爭(zhēng)取在以后的項(xiàng)目中不再犯同樣的錯(cuò)誤。
3信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的重點(diǎn)領(lǐng)域管理
信息安全問題影響深遠(yuǎn)，其風(fēng)險(xiǎn)評(píng)估應(yīng)根據(jù)項(xiàng)目的特點(diǎn)及具體過程，且應(yīng)在評(píng)估中重點(diǎn)加強(qiáng)溝通、范圍、時(shí)間、成本、風(fēng)險(xiǎn)、人力資源等幾個(gè)領(lǐng)域的管理。
3.1項(xiàng)目溝通管理
為了達(dá)到項(xiàng)目目標(biāo)，項(xiàng)目經(jīng)理首先必須通過溝通談判從本公司獲得相應(yīng)的人力資源等支持；其次，為了獲得客戶的支持與配合，提高項(xiàng)目滿意度，項(xiàng)目經(jīng)理必須與客戶進(jìn)行有效溝通。項(xiàng)目的最終目標(biāo)是滿足或者超過干系人的需求與期望。要滿足或者超過干系人的需求與期望，首先應(yīng)該識(shí)別干系人，識(shí)別他們的需求與期望，制定溝通計(jì)劃，在項(xiàng)目實(shí)施過程中管理干系人的需求與期望。
（1）識(shí)別干系人。很顯然，與項(xiàng)目的相關(guān)程度不同，不同的人對(duì)項(xiàng)目信息安全風(fēng)險(xiǎn)具有不同的影響，作為客戶方與項(xiàng)目實(shí)施方，其公司企業(yè)的信息安全風(fēng)險(xiǎn)是不一樣的，一般而言客戶方具有最大的影響力，公司方則次之，干系人對(duì)項(xiàng)目的態(tài)度也是影響項(xiàng)目信息安全風(fēng)險(xiǎn)的重要因素，態(tài)度一般分為無關(guān)、支持和反對(duì)三個(gè)。
（2）了解干系人的需求與期望。應(yīng)該在充分了解項(xiàng)目背景的基礎(chǔ)上，運(yùn)用一定的方法與技巧了解干系人的需求與期望。①了解項(xiàng)目背景?？梢宰稍兪矍邦檰枴N售人員或者查閱招標(biāo)時(shí)的招標(biāo)書，甚至可以通過互聯(lián)網(wǎng)獲得相關(guān)信息。風(fēng)險(xiǎn)評(píng)估項(xiàng)目的項(xiàng)目背景也是復(fù)雜的，一般而言會(huì)分成很多的情況，比較常見的有項(xiàng)目本身實(shí)施過程中出現(xiàn)的信息安全事件、監(jiān)管機(jī)制的不合理等。②了解干系人需求與期望的方法。馬期洛需求層次理論可以幫助我們了解干系人需求與期望。通過馬期洛需求層次理論可以大致了解干系人的需求，然后通過換位思考、溝通交流等手段，進(jìn)一步確認(rèn)干系人的需求與期望。
（3）制定溝通計(jì)劃。信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目需要溝通，所以需要制定一個(gè)有效的溝通計(jì)劃。信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目不能夠隨意地制定溝通計(jì)劃，而應(yīng)該詳細(xì)地分析相關(guān)的影響因素，重點(diǎn)關(guān)注利益相關(guān)者的溝通情況，從而降低影響，提高效率。
（4）管理干系人的需求與期望。干系人的期望與需求也應(yīng)該得到恰當(dāng)?shù)墓芾?，最重要的是要明確期望與需求，進(jìn)行類別的劃分?？煞譃锳、B、C三類：A類：必須做（need），這一類如不做，將難以通過驗(yàn)收；B類：應(yīng)該做（want），這一類如不做，會(huì)影響驗(yàn)收效果；C類：可以做（wish），這一類是可做可不做的，做了客戶會(huì)更加滿意，不做也不會(huì)影響驗(yàn)收。其次，在管理干系人的需求與期望時(shí)，應(yīng)該遵循80/20規(guī)則，即完成20%的任務(wù)實(shí)現(xiàn)80%的價(jià)值，這部分任務(wù)必須作為重點(diǎn)。另外，可能還有20%的任務(wù)花費(fèi)80%的成本，在資源及時(shí)間允許的情況下處理此類需求與期望。再次，在管理干系人的需求與期望時(shí)也可以根據(jù)干系人的職權(quán)（權(quán)力）進(jìn)行管理。①在第一象限中的干系人權(quán)力高，但對(duì)項(xiàng)目關(guān)注程度低，采用令其滿意的管理策略。②在第二象限中的干系人權(quán)力高，且對(duì)項(xiàng)目關(guān)注程度高，要對(duì)其重點(diǎn)管理，優(yōu)先滿足其需要與期望。③第三象限的人員對(duì)項(xiàng)目關(guān)注程度高，但權(quán)力較低，采用隨時(shí)告知的策略，盡量不要影響其個(gè)人利益。④第四象限的人權(quán)力低，且對(duì)項(xiàng)目不關(guān)注，要監(jiān)督他們對(duì)項(xiàng)目的反應(yīng)，不引起負(fù)面影響。最后，為了滿足干系人的需求與期望，需要在項(xiàng)目范圍、項(xiàng)目時(shí)間、項(xiàng)目成本、項(xiàng)目質(zhì)量之間做好平衡。
3.2項(xiàng)目范圍管理
范圍是一個(gè)空間的范疇，一個(gè)項(xiàng)目管理的范圍規(guī)定了一個(gè)項(xiàng)目的權(quán)限范圍，規(guī)定了項(xiàng)目可以做哪些事情，而哪些事情是不能做的，實(shí)際上是對(duì)必要工作的堅(jiān)持和對(duì)不必要工作的摒棄。
（1）明確風(fēng)險(xiǎn)評(píng)估范圍。項(xiàng)目計(jì)劃準(zhǔn)備時(shí)就要考慮風(fēng)險(xiǎn)評(píng)估范圍，在這一階段就應(yīng)該定義項(xiàng)目范圍的廣泛性以及縱深等內(nèi)容，并且考慮客戶的需求，從而明確項(xiàng)目管理范圍。項(xiàng)目范圍的確定不是一方所能夠決定的，相反這是一個(gè)博弈的過程，應(yīng)該照顧各方的利益，制定出一個(gè)符合各方利益的項(xiàng)目管理范圍。
（2）明確風(fēng)險(xiǎn)評(píng)估成果。應(yīng)該在項(xiàng)目開始之前，與客戶將項(xiàng)目提交的成果及要求確定下來。一是在項(xiàng)目執(zhí)行過程中，以此為目標(biāo)；二是設(shè)定一個(gè)驗(yàn)收項(xiàng)目的標(biāo)準(zhǔn)。
（3）創(chuàng)建工作分解結(jié)構(gòu)。顧名思義，創(chuàng)建工作分解結(jié)構(gòu)即將解構(gòu)分解，即把項(xiàng)目的最后結(jié)果和其工作流程明細(xì)化，從而使得每一步變得簡(jiǎn)單，更加容易操作。在信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目中，第一層一般就放置項(xiàng)目成果，而第二層則更加側(cè)重中間成果。顯而易見，分解工作結(jié)構(gòu)并不是一件簡(jiǎn)單的事情，也不是只有一種方法，各層次都是可以相互變化的。
（4）風(fēng)險(xiǎn)評(píng)估范圍控制。范圍是所有計(jì)劃的基礎(chǔ)。對(duì)待客戶提出范圍變更應(yīng)該遵循以下流程：首先不能明確拒絕，然后要分析客戶變更的原因及目的，快速反應(yīng)變更所需要的人工及預(yù)算對(duì)時(shí)間和質(zhì)量的影響，然后再做出決定。
（5）風(fēng)險(xiǎn)評(píng)估成果核實(shí)。風(fēng)險(xiǎn)評(píng)估成果核實(shí)過程應(yīng)該嚴(yán)謹(jǐn)而且細(xì)心，因?yàn)檫@是一個(gè)正式驗(yàn)收項(xiàng)目的過程，需要由客戶和項(xiàng)目的執(zhí)行人一起認(rèn)真核實(shí)項(xiàng)目的最終結(jié)果。
（6）取得干系人對(duì)項(xiàng)目范圍正式認(rèn)可。它要求審查可交付成果和工作結(jié)果，以保證一切均已正確無誤且令人滿意地完成。
3.3項(xiàng)目時(shí)間管理
時(shí)間管理至關(guān)重要，因?yàn)閮?yōu)秀的時(shí)間管理保證項(xiàng)目能夠不延期交付。
（1）定義活動(dòng)。定義活動(dòng)從字面上理解就是一個(gè)識(shí)別的過程，定義識(shí)別的是在項(xiàng)目的實(shí)施過程中需要采取的一切實(shí)施方法和步驟。它是在工作分解結(jié)構(gòu)的基礎(chǔ)上進(jìn)行細(xì)化而完成的。
（2）排列活動(dòng)順序?；顒?dòng)順序涉及到的是一個(gè)排列的問題，指的是一種依賴關(guān)系，即識(shí)別和記錄項(xiàng)目活動(dòng)的依賴關(guān)系，是一種邏輯的過程。一般而言，這里所指的依賴關(guān)系指的是信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目中，各個(gè)活動(dòng)之間所具有的特性，如強(qiáng)制性、選擇性和外部依賴性。確定完活動(dòng)之間的依賴關(guān)系，就可以對(duì)他們進(jìn)行排序了，可以采用網(wǎng)絡(luò)圖的方法來表達(dá)他們之間的順序，常有三種關(guān)系，即完成-開始，開始-開始，結(jié)束-結(jié)束。
（3）估算活動(dòng)持續(xù)時(shí)間。估算活動(dòng)持續(xù)時(shí)間是一個(gè)時(shí)間上的范疇，指的是估計(jì)資源運(yùn)用和消耗，以及估計(jì)完成一項(xiàng)活動(dòng)所需工時(shí)的過程。需要根據(jù)活動(dòng)的具體情況、負(fù)責(zé)活動(dòng)的人員情況來進(jìn)行估算。估算不能隨意，應(yīng)該具有嚴(yán)格的依據(jù)。工時(shí)估算時(shí)，常采用三點(diǎn)估算法。即估算工時(shí)=（最樂觀時(shí)間+4×最可能時(shí)間+最悲觀時(shí)間）/6。①制定進(jìn)度計(jì)劃。制定進(jìn)度計(jì)劃首先需要對(duì)所掌握的信息進(jìn)行深入分析，從而確定活動(dòng)的順序，并且在時(shí)間和空間上確定一個(gè)相對(duì)準(zhǔn)確的點(diǎn)，估算對(duì)資源的需求以及項(xiàng)目實(shí)施流程。制定一個(gè)有效的進(jìn)度計(jì)劃并不是件簡(jiǎn)單的事情，而是極其復(fù)雜的過程，在這期間需要一遍又一遍分析，從而確定一個(gè)合適的時(shí)間跨度，并且對(duì)項(xiàng)目結(jié)果有一個(gè)合適的預(yù)期。即使制訂了進(jìn)度計(jì)劃，也不是一成不變的，而是要根據(jù)相關(guān)審查部門的意見適當(dāng)?shù)匦薷挠?jì)劃，從而使得計(jì)劃在時(shí)間和資源應(yīng)用上更加合理。只有審查通過以后，這個(gè)進(jìn)度計(jì)劃才可以說是確定下來了。信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目極其復(fù)雜，很多因素?zé)o論是內(nèi)部的還是外部的，都對(duì)項(xiàng)目有很大的影響，并且鑒于有限的項(xiàng)目組成員，所以需要采用一個(gè)更加合適的進(jìn)度計(jì)劃形式。②控制進(jìn)度?？刂七M(jìn)度的同時(shí)也是一個(gè)對(duì)項(xiàng)目監(jiān)督管理的過程，這一過程根據(jù)進(jìn)度計(jì)劃的基準(zhǔn)不斷地調(diào)整項(xiàng)目的進(jìn)程。進(jìn)度控制程序：一般分為四個(gè)步驟，即先要分析一個(gè)項(xiàng)目所散發(fā)的狀態(tài)信息；然后如果需要調(diào)整進(jìn)度，就要調(diào)整影響進(jìn)度的相關(guān)參數(shù)；再次分析以后，要確定一個(gè)項(xiàng)目是否在原定的軌道上；如果進(jìn)度脫離了軌道，就要進(jìn)行相應(yīng)的管理。
3.4項(xiàng)目成本管理
成本管理包括估算成本、制定預(yù)算、控制成本三項(xiàng)任務(wù)。
（1）估算成本。對(duì)成本的估算需要囊括整個(gè)項(xiàng)目的進(jìn)程，時(shí)間跨度和空間跨度上均要全面。成本估算是在某特定時(shí)點(diǎn)，根據(jù)已知信息所做出的成本預(yù)測(cè)。信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的主要成本是人工成本及實(shí)施直接成本，因?yàn)槿斯こ杀菊剂怂谐杀镜囊淮蟛糠?，所以精確地估算人工成本是成本估算最基礎(chǔ)的一面。估算人工成本有個(gè)前提，即進(jìn)度計(jì)劃是準(zhǔn)確的，從而對(duì)團(tuán)隊(duì)成員的人工估算做到精確。項(xiàng)目成本即使估算出來了，也不一定是準(zhǔn)確的，需要時(shí)時(shí)修正，因?yàn)樵降搅隧?xiàng)目的后期，需要估計(jì)的越少，影響估算準(zhǔn)確性的因素也越少，所以成本估算需要不斷進(jìn)行。
（2）制定預(yù)算。制定預(yù)算也是一個(gè)估算的過程，是對(duì)一個(gè)項(xiàng)目的所有方面進(jìn)行一個(gè)全面的評(píng)估，從而為以后資金的撥付制訂了基礎(chǔ)和基準(zhǔn)。只有制定預(yù)算，才能夠根據(jù)預(yù)算的需求來劃撥資金，并且影響到了項(xiàng)目的實(shí)施全過程和成果評(píng)估部分。
（3）控制成本。成本的控制一般而言指的是成本不應(yīng)該超出預(yù)算，控制成本是一個(gè)動(dòng)態(tài)的過程，是監(jiān)督項(xiàng)目狀態(tài)，從而獲得有用信息以更新項(xiàng)目預(yù)算。項(xiàng)目成本控制包括：找出影響項(xiàng)目成本的因素，并作相應(yīng)的修改；保證修改項(xiàng)目參數(shù)能夠成功；在修改成功以后，要隨時(shí)動(dòng)態(tài)地監(jiān)督；控制成本，使得成本控制在預(yù)算的范圍之內(nèi)，甚至應(yīng)該精確到每一項(xiàng)開支；分析成本與預(yù)算成本基準(zhǔn)之間的差距；對(duì)照資金支出，監(jiān)督工作績(jī)效；嚴(yán)格禁止不相關(guān)的支出，使得每一項(xiàng)成本都合情合理；向有關(guān)干系人匯報(bào)項(xiàng)目進(jìn)展和成本控制的工作；即使項(xiàng)目超支了，也要盡量減少成本。
3.5人力資源管理
人力資源管理在一個(gè)項(xiàng)目執(zhí)行時(shí)包括很多方面的內(nèi)容，例如管理組織一個(gè)實(shí)施團(tuán)隊(duì)、人員分工等。
（1）制定人力資源計(jì)劃。制定人力資源計(jì)劃是在項(xiàng)目實(shí)施之前對(duì)實(shí)施項(xiàng)目的團(tuán)隊(duì)、人員、職務(wù)、報(bào)酬等方面的規(guī)劃，并且對(duì)各個(gè)人和團(tuán)隊(duì)的責(zé)任進(jìn)行詳細(xì)劃分。人力資源計(jì)劃包含項(xiàng)目角色與職責(zé)記錄、分成的各個(gè)部門等。一些信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目執(zhí)行時(shí)間比較長(zhǎng)，因此需要更加有效的團(tuán)隊(duì)，這就需要對(duì)人員進(jìn)行培訓(xùn)以及制定團(tuán)隊(duì)建設(shè)策略等。風(fēng)險(xiǎn)評(píng)估項(xiàng)目的責(zé)任分配并不復(fù)雜，可采用責(zé)任分配矩陣（RAM），這個(gè)矩陣能夠顯示工作包或活動(dòng)與項(xiàng)目團(tuán)隊(duì)成員之間的聯(lián)系。并且根據(jù)需求的不同，制定不同層次的矩陣。
（2）組建項(xiàng)目團(tuán)隊(duì)。組建項(xiàng)目團(tuán)隊(duì)實(shí)際上是對(duì)人力資源使用和分配的過程，需要了解人力資源的各種特性，從而組建最合適的管理團(tuán)隊(duì)，在組建團(tuán)隊(duì)時(shí)需要注意：項(xiàng)目經(jīng)理所要做的是積極地與人力資源人員進(jìn)行交流，充分掌握各方面的信息，從而獲得最合適和最有效率的人才。但是有時(shí)候項(xiàng)目經(jīng)理并不能總是如愿地獲得自己想要的人力資源，而是會(huì)受到如經(jīng)濟(jì)等其他項(xiàng)目對(duì)資源的占用等因素的影響，從而制約了項(xiàng)目的實(shí)施，作為替代，項(xiàng)目經(jīng)理可能不可避免地使用不合適的人力資源。
（3）管理項(xiàng)目團(tuán)隊(duì)。管理項(xiàng)目團(tuán)隊(duì)是選出來運(yùn)營(yíng)項(xiàng)目的人所組成的團(tuán)隊(duì)，他們具有多樣化的目標(biāo)，例如繼續(xù)學(xué)習(xí)，提高團(tuán)隊(duì)成員的專業(yè)技能，增強(qiáng)團(tuán)隊(duì)的執(zhí)行能力從而保證項(xiàng)目結(jié)果的按時(shí)交付；以最低的成本完成最高質(zhì)量的項(xiàng)目；按時(shí)完成項(xiàng)目，團(tuán)隊(duì)成員之間相互協(xié)作，增加團(tuán)隊(duì)效率，豐富團(tuán)隊(duì)成員的知識(shí)，增強(qiáng)其跨學(xué)科運(yùn)作能力，提高團(tuán)隊(duì)的凝聚力，無論整體上還是個(gè)人上都有效率的提升等。項(xiàng)目經(jīng)理在期間應(yīng)該全權(quán)負(fù)責(zé)項(xiàng)目團(tuán)隊(duì)的管理運(yùn)作，增加項(xiàng)目績(jī)效，在團(tuán)隊(duì)出現(xiàn)問題時(shí)，分析導(dǎo)致問題的原因，然后解決問題。團(tuán)隊(duì)建設(shè)一般要經(jīng)過5個(gè)階段：①形成階段，這個(gè)階段是團(tuán)隊(duì)形成的最初階段，團(tuán)隊(duì)成員只是互相認(rèn)識(shí)，并沒有相應(yīng)的合作。②震蕩階段，指的是團(tuán)隊(duì)已經(jīng)開始運(yùn)作，但是成員之間需要磨合的階段。③規(guī)范階段，過了磨合期以后，團(tuán)隊(duì)成員彼此之間逐漸適應(yīng)了彼此的節(jié)奏，能夠進(jìn)行初步合作了，團(tuán)隊(duì)開始有成為一個(gè)有效整體的趨向。④成熟階段，這一階段團(tuán)隊(duì)成員之間已經(jīng)能夠精誠(chéng)合作，互補(bǔ)余缺，相互學(xué)習(xí)，團(tuán)隊(duì)效率較高。⑤解散階段，即當(dāng)項(xiàng)目完成以后，各成員完成了職責(zé)，從而脫離團(tuán)隊(duì)。因?yàn)楦鞣N各樣的原因，例如缺乏充足的資金、進(jìn)度安排不合理、團(tuán)隊(duì)成員之間缺乏配合等，會(huì)造成項(xiàng)目環(huán)境的沖突。如果項(xiàng)目經(jīng)理能有效管理，則意見分歧能夠轉(zhuǎn)變?yōu)閳F(tuán)隊(duì)的多樣化管理，不僅能夠提高團(tuán)隊(duì)創(chuàng)造力還有利于做出更好的決策。如果管理不當(dāng)，團(tuán)隊(duì)之間的分歧沒有得到解決，就可能會(huì)加大團(tuán)隊(duì)成員之間的鴻溝，從而對(duì)項(xiàng)目的實(shí)施產(chǎn)生負(fù)面的影響。要建設(shè)高效的項(xiàng)目團(tuán)隊(duì)，項(xiàng)目經(jīng)理需要獲得高層管理者的支持，獲得團(tuán)隊(duì)成員的承諾，采用適當(dāng)?shù)莫?jiǎng)勵(lì)和認(rèn)可機(jī)制，創(chuàng)建團(tuán)隊(duì)認(rèn)同感，有效管理沖突，團(tuán)隊(duì)成員間增進(jìn)信任和開放式溝通，特別是要有良好的團(tuán)隊(duì)領(lǐng)導(dǎo)力。項(xiàng)目團(tuán)隊(duì)管理的一些工具與技術(shù)包括：①人際關(guān)系技能。通過了解項(xiàng)目團(tuán)隊(duì)成員的感情來預(yù)測(cè)其行動(dòng)，了解其后顧之憂，并盡力幫助解決問題，項(xiàng)目管理團(tuán)隊(duì)可大大減少麻煩并促進(jìn)合作。②培訓(xùn)。旨在提高項(xiàng)目團(tuán)隊(duì)成員能力的全部活動(dòng)，培訓(xùn)可以是正式或非正式的。應(yīng)該按人力資源計(jì)劃中的安排來實(shí)施預(yù)定的培訓(xùn)。③制定管理規(guī)范，對(duì)項(xiàng)目團(tuán)隊(duì)成員的可接受行為做出明確規(guī)定。盡早制定并遵守明確的規(guī)則，可減少誤解，提高生產(chǎn)力。規(guī)則一旦建立，全體項(xiàng)目團(tuán)隊(duì)成員都必須遵守。④認(rèn)可與獎(jiǎng)勵(lì)。如果想要提高項(xiàng)目團(tuán)隊(duì)的效率，使得每個(gè)人更加盡心和更加富有責(zé)任感，就應(yīng)在團(tuán)隊(duì)建設(shè)過程中引進(jìn)相應(yīng)的激勵(lì)機(jī)制，在制定項(xiàng)目計(jì)劃時(shí)就應(yīng)該考慮到團(tuán)隊(duì)成員的獎(jiǎng)懲問題。在管理項(xiàng)目團(tuán)隊(duì)的過程中，團(tuán)隊(duì)成員的獎(jiǎng)勵(lì)不是隨意而發(fā)的，而是通過項(xiàng)目績(jī)效評(píng)價(jià)，以正式或非正式的方式做出獎(jiǎng)勵(lì)決定。只有優(yōu)良行為才能得到獎(jiǎng)勵(lì)。
3.6項(xiàng)目風(fēng)險(xiǎn)管理
項(xiàng)目風(fēng)險(xiǎn)管理旨在降低風(fēng)險(xiǎn)，或者把風(fēng)險(xiǎn)控制在可控范圍之內(nèi)。其目標(biāo)是盡力使得項(xiàng)目運(yùn)行向著有利的方面轉(zhuǎn)化，對(duì)消極負(fù)面的一部分則注意防范。信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目不屬于特別大的項(xiàng)目，所以一般分為識(shí)別風(fēng)險(xiǎn)、評(píng)價(jià)風(fēng)險(xiǎn)、規(guī)劃風(fēng)險(xiǎn)應(yīng)對(duì)、監(jiān)控風(fēng)險(xiǎn)四個(gè)過程。
（1）識(shí)別風(fēng)險(xiǎn)。識(shí)別風(fēng)險(xiǎn)是風(fēng)險(xiǎn)管理的前提，是一個(gè)信息處理的過程，在這個(gè)過程中判斷分析什么樣的風(fēng)險(xiǎn)會(huì)影響項(xiàng)目?？刹捎煤藢?duì)表的方式進(jìn)行風(fēng)險(xiǎn)識(shí)別。
（2）評(píng)價(jià)風(fēng)險(xiǎn)。對(duì)于信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目，評(píng)價(jià)風(fēng)險(xiǎn)只需要定性評(píng)價(jià)即可。實(shí)施定性風(fēng)險(xiǎn)分析根據(jù)風(fēng)險(xiǎn)發(fā)生的相對(duì)概率或可能性、風(fēng)險(xiǎn)發(fā)生后對(duì)項(xiàng)目目標(biāo)的相應(yīng)影響以及其他因素來評(píng)估已識(shí)別風(fēng)險(xiǎn)的優(yōu)先級(jí)。
（3）規(guī)劃風(fēng)險(xiǎn)應(yīng)對(duì)。規(guī)劃風(fēng)險(xiǎn)應(yīng)對(duì)是風(fēng)險(xiǎn)管理最重要的步驟，其規(guī)劃的是項(xiàng)目的目標(biāo)及降低風(fēng)險(xiǎn)的步驟。對(duì)于消極風(fēng)險(xiǎn)，常有回避、轉(zhuǎn)移、減輕、接受四種方式；對(duì)于積極風(fēng)險(xiǎn)，常有開拓、分享、提高、接受四種方式。
（4）監(jiān)控風(fēng)險(xiǎn)。監(jiān)控風(fēng)險(xiǎn)是風(fēng)險(xiǎn)管理的最后一步，也是第一步，因?yàn)樗秦灤┰谡麄€(gè)項(xiàng)目之中，是一個(gè)制定風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃、監(jiān)控已知風(fēng)險(xiǎn)、加強(qiáng)管理以解決風(fēng)險(xiǎn)以及發(fā)現(xiàn)新風(fēng)險(xiǎn)的過程。
4結(jié)語
