随着进入新世纪,互联网时代的来临,信息化革命给人们的生活工作带来了深远的影响。对于企业来说,起到重要商业价值的除了传统形式的企业资产,又产生了新形式的企业资产——信息资产。信息资产是指由企业拥有或者控制的能够为企业带来未来经济利益的信息资源。它们在硬件、软件、协议的具体实现或系统安全策略上可能存在着缺陷,从而可以使攻击者能够在未授权的情况下访问或破坏它们,从而给使用它们的系统带来威胁。鉴于信息资产可能产生上述风险。为在新形势下做好信息安全方面的工作,电信运营商A提出了开发一个信息资产风险管控系统的需求。本系统的理论基础及评价标准主要源于信息资产安全的概念,信息资产安全是发展自传统信息安全这一概念的定义。在研究评价信息资产具有的风险程度过程中,本系统科学选取并按照研究评价信息安全风险的“可操作的关键威胁、资产和薄弱点评估标准”,兼顾组织人员、对资产的威胁、资产的薄弱点等诸多因素,灵活借鉴“层次分析法”,从定量角度分析评价信息资产具有的风险程度,并且对信息资产具有的关键定性属性(如地理属性、部门属性等)进行强调以满足需求方的特定要求。系统在开发中采用开发者广泛使用的J2EE技术,基于B/S架构,结合Struts2、Hibernate和Spring等开源框架应用了 MVC、工厂、代理等设计模式,以分层的系统架构实现了前后台的多个功能模块,主要涵盖前台展示类、后台应用类功能模块,降低了组件之间的藕合性,增强了系统的可重用性和可扩展性。遵循软件工程的开发思路,论文首先对系统进行了需求分析,之后进行概要设计(包括架构设计、数据库设计、算法设计),详细设计,最后运行系统并对其进行测试。结果表明,本系统的各种功能达到了预期的设计标准,满足了用户的需求。最后,总结了本次开发工作的得失并提出了对下一步工作的展望。