随着全球经济的快速发展,人们在享受信息和信息技术所带来的巨大便利的同时,信息资产安全问题成为影响和控制我们生活的一个典型问题。特别是移动互联网时代的到来,导致信息资产安全事件的危害程度日益严重,给风险管理带来了巨大挑战。E公司作为一家跨国企业,其面临着高价值信息资产威胁加剧、针对信息资产安全的风险评估和处理效果不佳等问题。因此,如何改进完善信息资产安全风险管理流程,降低风险事故概率,减少风险处理成本,提升信息资产安全业务能力,成为E公司亟待解决的问题。首先,本文以信息安全的国际标准管理体系ISO27001为基础,通过对大量文献的整理与鉴别,分析E公司信息资产安全风险管理流程,总结现有流程中存在的不足及问题。其次,基于公司安全战略的目标设计,提出基于PDCA的信息资产安全风险管理流程设计思路,并利用ESIA的方法详细分析改进风险识别、风险评估、风险处理阶段,在部门的实际风险管理活动中加以实施和验证。最后,给出改进方案顺利实施的制度保障、组织保障,技术保障等措施和实施效果。本文认为,其一,通过高价值信息资产识别,利用已有安全措施预评估,风险处理效果评审三个新的环节,实现了信息资产安全风险管理流程的优化。其二,基于信息资产安全的风险管理三个环节的改进方案,W部门在对外客户业务和对内实验室业务上具体实施,提升了 W部门信息资产安全风险管理的效率。本文的研究意义,一方面,改进E公司信息资产安全风险管理流程,提高了 E公司的风险管理质量,提升了业务竞争力。另一方面,E公司信息资产安全风险管理三个环节的改进措施,对同行业有着一定的参考意义。