随着计算机和互联网技术的突飞猛进,信息安全问题日益严重。解决信息安全问题的基础是信息安全风险评估。信息安全风险评估的实质是风险管理,它是运用科学的手段,依据相关的信息安全风险评估准则,对网络或信息系统的资产存在的脆弱性、威胁以及可能出现的安全事件进行评估的过程,它可以把存在的风险逐渐降低到一个可接受的水平。CORAS框架是一个信息安全风险评估平台,它融合了多种互补的风险分析技术,有一套完整的评估体系和对应的评估工具,本文对CORAS风险评估框架开展了分析。在以上分析的基础上,对CORAS框架进行了改进,形成A-CORAS评估框架,在框架中引入了UML-Petri网转换,利用Petri网图形来补充CORAS框架中UML半形式化语言建模的不足,使得CORAS框架中的风险建模更加全面准确,同时在CORAS框架中还引入基于先验网络、AHP和模糊综合评价、灰色理论的信息安全风险评估方法,用于计算系统的风险等级。通过实例分析,验证了各种改进方法的可行性,并设计了基于A-CORAS框架的信息安全风险评估原型系统。