随着信息技术的发展和社会信息化进程的加快,国民经济对信息和信息系统的依赖越来越大。因此,信息的安全性引起了人们的高度重视。信息安全管理的本质问题是风险管理,安全与风险是密不可分的,没有绝对的安全也没有彻底的风险。本文通过对风险管理相关技术和当前存在的风险管理模型的研究,提出了一个信息安全风险管理模型,该风险管理模型主要分两个子系统分别为风险评估子系统和风险消减子系统,分别完成了系统的风险评估和风险处理措施。风险评估子系统包括信息收集库和信息分析层,主要完成系统安全信息的收集,安全信息的评估。风险消减子系统包括风险消减层,主要针对安全评估结果采取响应的措施。消减层又分为预报模块和处理模块,预报模块提供邮件通知措施;处理模块根据风险评估模块产生的风险评估报告对系统进行风险处理。风险评估是风险管理的核心,它根据资产分析、漏洞扫描和威胁识别结果采用相应的风险评估方法对评估系统做出定性或定量的评估。本文提出了一种基于模糊数学的综合风险评估模型,该模型首先利用模糊数学方法计算出资产的风险值,然后利用计算的资产风险值和威胁,脆弱性的评估值得到评估结果。该方法实现了风险的定量评估,可减少由评估的主观性和离散数据带来的偏差,能比较简单地得到一个直观的、用户易接受的评估结果。本文在扫描技术、样式比对的入侵检测技术等安全技术、资产录入模块的基础上,实现了风险评估模块的功能。在预报模块和处理模块的基础上风险消减模块的功能。