信息安全风险评估理论和方法正处于蓬勃发展、百家争鸣的时代。CORAS是由欧盟信息社会技术计划资助的一个针对安全关键系统风险评估的研发项目,该项目提出了一种基于模型的风险评估方法,为风险评估研究开拓了一个新的发展方向。研究CORAS基于模型的方法,对促进风险评估精细化、准确化以及中小型组织自评估实施都具有重要意义。本文依托重庆市某企业的一个风险评估项目,对CORAS方法进行了介绍和分析,并进行了应用研究。论文主要内容及成果有以下几个方面:CORAS框架及过程分析。CORAS框架基于模型的风险评估方法,使风险评估工作简洁直观,其制定的“七个步骤”体现了风险评估流程的特点,加强了评估过程的规范性,同时易于理解和掌握;CORAS方法应用研究。结合国家风险评估标准草案,借鉴和利用CORAS方法基于模型的优点,对CORAS方法在国内的应用进行了研究,进一步细化了有关评估要素的赋值标准,使之符合国内信息建设和使用实际,增加评估结果的准确性和权威性;算法及辅助工具设计。细化融合后的CORAS风险计算,对风险发生可能性及风险影响建立层次模型进行分析,基于AHP法对风险综合值进行量化计算,便于在风险矩阵中进行更详细的权重表示,并针对风险评估过程中数据量大,人工计算繁琐且容易出错的问题,设计了风险计算辅助工具;案例应用及实践验证。将CORAS方法的研究及改进成果运用到一个信息系统的关键子系统——网络财务子系统的评估活动中,通过在该实例中的成功应用,取得了良好效果,验证了本文研究成果在实践中的可行性和实用性,对CORAS方法的应用推广具有参考价值。