在如今的商业时代,信息对于企业是至关重要的。信息为企业创造价值的同时,面临着信息安全的隐患。信息作为组织的重要资产,必须加以妥善的保护。国际、国内的信息安全理论研究是近年来迅速发展和兴起的研究方向,也发布了一系列的信息安全标准。B公司是一家跨国性大型建筑公司的上海分公司。信息安全关系到B公司的设计资料、专利技术、投标合同等商业机密,也关系到B公司的客户的重要机密信息。因此,对公司的信息资产进行全面的风险评估和风险控制,建立起信息安全管理体系,是B公司的迫切需求。本文以B公司为研究对象,主要研究了基于IS027000信息安全管理体系的风险评估和控制。论文首先对B公司的信息安全现状进行了深入的研究和剖析,找出确定风险评估的范围。而后论文以IS027000的相关理论为指导思想,采用规范的信息安全管理的评估流程,对评估范围内的B公司资产、威胁和薄弱点进行了风险评估,并运用计算公式进行了风险值的计算。然后,论文再根据风险评估报告,使用风险控制的相关理论为原则,为B公司提出了风险控制的具体方案建议。本文的研究成果可为同类企业的信息安全风险评估和控制提供借鉴。