信息安全风险评估是信息系统安全工程体系中的重要环节,已成为国内外信息安全领域的研究热点。但现有的风险评估工具由于服务对象和采用标准的不同,国内无法直接引用,且存在难以识别新颖威胁、评估能力无法自增长等问题。针对以上问题,论文以国标《信息安全风险评估规范》为依据,在分析和比较了国内外典型的信息安全风险评估标准和风险评估方法的基础上,设计并实现了一个新的信息安全风险评估系统RISRA(RAADD Information Security Risk Assessment)。该系统通过风险评估辅助决策数据库RAADD(Risk Assessment Assistant Decision Database)的建立,把复杂的信息系统分类细化,辅助用户参考专家经验和推理建立风险评估实例,强化了风险处理能力;引入风险评估矩阵,为风险要素指标和综合风险建立了量化计算模型。论文以一个应用实例为背景,详细论述了RISRA系统的实现,介绍了该系统进行安全风险评估的流程和方法。实验结果表明,RISRA系统能够合理量化和描述系统的安全现状和目前与未来的风险情况,残留风险可能带来的安全威胁与影响程度,对信息系统的安全保障和风险控制具有指导意义。论文还研究了基于免疫网络的信息安全风险评估系统模型,并进行相应的测试实验。该模型具有对信息系统安全信息进行自动采集和自动分析等功能,可应对信息系统的动态变化,对信息系统的整体安全状态做出科学的、量化的评价。