信息安全风险评估,就是从风险管理的角度,运用科学的方法和手段,系统地分析网络与信息系统所面临的威胁及其存在的脆弱性,评估安全事件一旦发生可能造成的危害程度,提出有针对性的抵御威胁的防护对策和整改措施,并为防范和化解信息安全风险,或者将风险控制在可接受的水平,从而最大限度地保障网络和信息安全提供科学依据。我国信息安全风险评估起步较晚,还处在发展探索阶段。本文主要研究了风险分析阶段的相关问题,通过对现有研究成果的比较分析,将贝叶斯网络引入到信息安全风险评估中来:(1)建立了基于贝叶斯网络的风险分析模型,将对风险值的求解转化为具有严密理论基础的概率推理,很好的将风险评估与专家知识结合起来;(2)对模型中各要素的等级划分以及模型的应用推理进行了详细的介绍;(3)建立一个基于贝叶斯网络风险分析模型的评估系统体系架构,详细设计了相应的知识库;(4)实现了基于贝叶斯网络风险分析模块,并应用于实例分析。贝叶斯网络具有严密的理论基础和成熟的推理算法,通过以上研究和实践,表明了将其应用在风险评估是一种有效的方法。