前言：中文期刊網精心挑選了資產安全評估范文供你參考和學習，希望我們的參考范文能激發你的文章創作靈感，歡迎閱讀。
資產安全評估范文1
關鍵詞：網絡安全；風險評估；模糊綜合評價
0 前言
網絡安全正逐漸成為一個國際化的問題，每年全球因計算機網絡的安全系統被破壞而造成的經濟損失達數千億美元。網絡安全是一個系統的概念，有效的安全策略或方案的制定，是網絡信息安全的首要目標。安全風險評估是建立網絡防護系統，實施風險管理程序所開展的一項基礎性工作。
然而，現有的評估方法在科學性、合理性方面存在一定欠缺。例如：評審法要求嚴格按照BS7799標準，缺乏實際可操作性；漏洞分析法只是單純通過簡單的漏洞掃描或滲透測試等方式對安全資產進行評估；層次分析法主要以專家的知識經驗和統計工具為基礎進行定性評估。針對現有網絡安全評估方法中出現的這些問題，本文擬引用一種定性與定量相結合，綜合化程度較高的評標方法――模糊綜合評價法。
模糊綜合評價法可根據多因素對事物進行評價，是一種運用模糊數學原理分析和評價具有“模糊性”的事物的系統分析方法，它是一種以模糊推理為主的定性與定量相結合、非精確與精確相統一的分析評價方法。該方法利用模糊隸屬度理論把定性指標合理的定量化，很好的解決了現有網絡安全風險評估方法中存在的評估指標單一、評估過程不合理的問題。
1 關于風險評估的幾個重要概念
按照ITSEC的定義對本文涉及的重要概念加以解釋：
風險(Risk)：威脅主體利用資產的漏洞對其造成損失或破壞的可能性。
威脅(Threat)：導致對系統或組織有害的，未預料的事件發生的可能性。
漏洞(Vulnerabmty)：指的是可以被威脅利用的系統缺陷，能夠增加系統被攻擊的可能性。
資產(Asset)：資產是屬于某個組織的有價值的信息或者資源，本文指的是與評估對象信息處理有關的信息和信息載體。
2 網絡安全風險評估模型
2.1 網絡安全風險評估中的評估要素
從風險評估的角度看，信息資產的脆弱性和威脅的嚴重性相結合，可以獲得威脅產生時實際造成損害的成功率，將此成功率和威脅的暴露率相結合便可以得出安全風險的可能性。
可見，信息資產價值、安全威脅和安全漏洞是風險評估時必須評估的三個要素。從風險管理的角度看，這三者也構成了邏輯上不可分割的有機整體：①信息資產的影響價值表明了保護對象的重要性和必要性。完整的安全策略體系中應當包含一個可接受風險的概念；②根據IS0-13335的定義，安全威脅是有能力造成安全事件并可能造成系統、組織和資產損害的環境因素。可以通過降低威脅的方法來降低安全風險，從而達到降低安全風險的目的；③根據IS0-13335的觀點，漏洞是和資產相聯系的。漏洞可能為威脅所利用，從而導致對信息系統或者業務對象的損害。同樣，也可以通過彌補安全漏洞的方法來降低安全風險。
從以上分析可以看出，安全風險是指資產外部的威脅因素利用資產本身的固有漏洞對資產的價值造成的損害，因此風險評估過程就是資產價值、資產固有漏洞以及威脅的確定過程。
即風險R＝f(z，t，v)。其中：z為資產的價值，v為網絡的脆弱性等級，t為對網絡的威脅評估等級。
2.2 資產評估
資產評估是風險評估過程的重要因素，主要是針對與企業運作有關的安全資產。通過對這些資產的評估，根據組織的安全需求，篩選出重要的資產，即可能會威脅到企業運作的資產。資產評估一方面是資產的價值評估，針對有形資產；另一方面是資產的重要性評估，主要是從資產的安全屬性分析資產對企業運作的影響。資產評估能提供：①企業內部重要資產信息的管理；②重要資產的價值評估；③資產對企業運作的重要性評估；④確定漏洞掃描器的分布。
2.3 威脅評估
安全威脅是可以導致安全事故和信息資產損失的活動。安全威脅的獲取手段主要有：IDS取樣、模擬入侵測試、顧問訪談、人工評估、策略及文檔分析和安全審計。通過以上的威脅評估手段，一方面可以了解組織信息安全的環境，另一方面同時對安全威脅進行半定量賦值，分別表示強度不同的安全威脅。
威脅評估大致來說包括：①確定相對重要的財產，以及其價值等安全要求；②明確每種類型資產的薄弱環節，確定可能存在的威脅類型；③分析利用這些薄弱環節進行某種威脅的可能性；④對每種可能存在的威脅具體分析造成損壞的能力；⑤估計每種攻擊的代價；⑥估算出可能的應付措施的費用。
2.4 脆弱性評估
安全漏洞是信息資產自身的一種缺陷。漏洞評估包括漏洞信息收集、安全事件信息收集、漏洞掃描、漏洞結果評估等。
通過對資產所提供的服務進行漏洞掃描得到的結果，我們可以分析出此設備提供的所有服務的風險狀況，進而得出不同服務的風險值。然后根據不同服務在資產中的權重，結合該服務的風險級別，可以最后得到資產的漏洞風險值。
3 評估方法
3.1傳統的評估方法
關于安全風險評估的最直接的評估模型就是，以一個簡單的類數學模型來計算風險。即：風險＝威脅+脆弱+資產影響
但是，邏輯與計算需要乘積而不是和的數學模型。即：風險＝威脅x脆弱x資產影響
3.2 模糊數學評估方法
然而，為了計算風險，必須計量各單獨組成要素（威脅、脆弱和影響)?，F有的評估方法常用一個簡單的數字指標作為分界線，界限兩邊截然分為兩個級別。同時，因為風險要素的賦值是離散的，而非連續的，所以對于風險要素的確定和評估本身也有很大的主觀性和不精確性，因此運用以上評估算法，最后得到的風險值有很大的偏差。用模糊數學方法對網絡安全的風險評估進行研究和分析，能較好地解決評估的模糊性，也在一定程度上解決了從定性到定量的難題。在風險評估中，出現誤差是很普遍的現象。風險評估誤差的存在，增加了評估工作的復雜性，如何把握和處理評估誤差，是評估工作的難點之一。
在本評估模型中，借鑒了模糊數學概念和方法中比較重要的部分。這樣做是為了既能比較簡單地得到一個直觀的用戶易接受的評估結果，又能充分考慮到影響評估的各因素的精度及其他一些因素，盡量消除因為評估的主觀性和離散數據所帶來的偏差。
（1）確定隸屬函數。
在模糊理論中，運用隸屬度來刻畫客觀事物中大量的模糊界限，而隸屬度可用隸屬函數來表達。如在根據下面的表格確定風險等級時，當U值等于49時為低風險，等于51時就成了中等風險。
此時如運用模糊概念，用隸屬度來刻畫這條分界線就好得多。比如，當U值等于50時，隸屬低風險的程度為60％，隸屬中等風險的程度為40％。
為了確定模糊運算，需要為每一個評估因子確定一種隸屬函數。如對于資產因子，考慮到由于資產級別定義時的離散性和不精確性，致使資產重要級別較高的資產(如4級資產)也有隸屬于中級級別資產（如3級資產)的可能性，可定義如下的資產隸屬函數體現這一因素：當資產級別為3時，資產隸屬于二級風險級別的程度為10％，隸屬于三級風險級別的程度為80％，屬于四級風險級別的程度為10％。
威脅因子和漏洞因子的隸屬度函數同樣也完全可以根據評估對象和具體情況進行定義。
（2）建立關系模糊矩陣。
對各單項指標(評估因子)分別進行評價。可取U為各單項指標的集合，則U＝(資產，漏洞，威脅)；取V為風險級別的集合，針對我們的評估系統，則V＝(低，較低，中，較高，高)。對U上的每個單項指標進行評價，通過各自的隸屬函數分別求出各單項指標對于V上五個風險級別的隸屬度。例如，漏洞因子有一組實測值，就可以分別求出屬于各個風險級別的隸屬度，得出一組五個數。同樣資產，威脅因子也可以得出一組數，組成一個5×3模糊矩陣，記為關系模糊矩陣R。
（3）權重模糊矩陣。
一般來說，風險級別比較高的因子對于綜合風險的影響也是最大的。換句話說，高的綜合風險往往來自于那些高風險級別的因子。因此各單項指標中那些風險級別比較高的應該得到更大的重視，即權重也應該較大。設每個單項指標的權重值為β1。得到一個模糊矩陣，記為權重模糊矩陣B，則B＝(β1,β2,β3)。
（4）模糊綜合評價算法。
進行單項評價并配以權重后，可以得到兩個模糊矩陣，即權重模糊矩陣B和關系模糊矩陣R。則模糊綜合評價模型為：Y＝B x R。其中Y為模糊綜合評估結果。Y應該為一個1x 5的矩陣：Y＝(y1，y2,y3，y4，y5)。其中yi代表最后的綜合評估結果隸屬于第i個風險級別的程度。這樣，最后將得到一個模糊評估形式的結果，當然也可以對這個結果進行量化。比如我們可以定義N＝1×y1十2×y2十3×y3×y4十5×y5作為一個最終的數值結果。
4 網絡安全風險評估示例
以下用實例說明基于模糊數學的風險評估模型在網絡安全風險評估中的應用。
在評估模型中，我們首先要進行資產、威脅和漏洞的評估。假設對同樣的某項資產，我們進行了資產評估、威脅評估和漏洞評估，得到的風險級別分別為：4、2、2。
那么根據隸屬函數的定義，各個因子隸屬于各個風險級別的隸屬度為：
如果要進行量化，那么最后的評估風險值為：PI= 1*0.06+2*0.48+3*0.1+4*0.32+5*0.04＝2.8。因此此時該資產的安全風險值為2.8。
參考文獻
［1］郭仲偉.風險分析與決策［M］.北京：機械工業出版社，1987.
［2］韓立巖，汪培莊.應用模糊數學［M］.北京：首都經濟貿易大學出版社，1998.
［3］徐小琳，龔向陽.網絡安全評估軟件綜述［J］.網絡信息安全，2001.
資產安全評估范文2
【關鍵詞】安全評估 私網評估 閉環管理
中圖分類號：TP317.1 文獻標識碼：A 文章編號：1006-1010（2016）18-0062-05
1 背景研究
隨著網絡規模的不斷擴大和網絡安全事件的逐年增加，手工加輔助工具方式的傳統主機風險評估系統雖然目前運用得較廣泛，但是這種半自動的方式工作效率不高且操作麻煩，在這種情況下，實現自動化的安全評估系統成為亟待解決的重要問題[1-2]。同時，隨著中國電信安全評估檢查工作的不斷深化開展，越來越多的業務平臺納入到安全評估的檢查范圍，而各業務平臺普遍存在私網資產，針對這些私網資產的安全評估檢查工作對于運維人員來說是一個很大的難題[3]。
1.1 問題分析
在當前的電信網絡實際運行環境中，開展安全評估工作主要存在以下方面的問題[4]：
（1）待檢查的設備數量多，需要人工參與的評估工作量太大，耗費大量的人力資源；
（2）安全運維流程零散雜亂，無電子化的安全運維流程；
（3）系統評估過程中使用的工具多，需要將各安全評估系統臨時接入到各個數據業務系統中進行掃描或采用臨時打通通路的方式，這種安全評估方式要在日常維護中定期頻繁的實施基本上不可行[5]；
（4）缺乏統一安全現狀呈現，對于設備安全信息現狀和系統整體安全情況只是體現在定期報告中，無安全現狀的實時呈現[6]。
1.2 解決思路
山東電信前期已建成SOC（Security Operation Center，安全運營中心）網絡安全管理平臺，它是一個統一的安全管理中心，協調包括安全評估子系統、異常流量監控子系統、攻擊溯源子系統等眾多第三方安全子系統在內的聯動工作。因此，在SOC平臺中嵌入一鍵式安全掃描評估閉環模塊，從安全運維的實際需求出發，為管理、運維、監控人員提供統一的安全自評估平臺，全面實現安全評估自動化、日?；⑷婊图谢?。通過提高安全評估工作效率，實現安全工作融入日常工作，將各種評估手段結合起來以實現全面評估，同時進行集中化的分析匯總與呈現[7]。
2 技術方案設計
2.1 設計目標
以SOC網絡安全管理平臺為中樞，建立統一的安全評估管理流程，分別面向監控、維護及管理人員，提供集中化統一的安全評估界面，全面助力一鍵式自助安全評估工作落地。
2.2 技術方案
（1）評估閉環管理模型
如圖1所示，一鍵式自助安全掃描評估以安全風險管理為核心，通過SOC安全管理平臺集中化管理，實現對安全資產的自動化掃描評估，從而達到對安全風險的全面管控，并且與電子運維工單系統對接，將評估結果和整改建議通過工單系統通知到相應的維護責任人，及時對安全漏洞進行整改處置，對于暫時無法整改的漏洞需在SOC平臺進行備案說明[8]。
通過一鍵式自助安全掃描評估，配置不同的任務策略和模板，實現以安全資產或業務系統兩種不同維度的任務自動下發，并對掃描評估結果進行統一管理與備案。通過“發現-掃描-評估-整改-復查”的閉環評估法則[9]，能夠快速發現網絡中的未知安全資產，全面掃描安全資產漏洞，清晰定性網絡安全風險，并給出修復建議和預防措施，同時將漏洞整改流程固化到系統中，從而在自動化安全評估的基礎上實現安全自主掌控[10]。
（2）私網安全評估技術
針對防火墻NAT（Network Address Translation，網絡地址轉換）后的私網資產無法通過網絡直接進行訪問，導致遠程安全評估無法有效開展的技術難題，通過部署安全私網評估，建立L2TP（Layer 2 Tunneling Protocol，第二層通道協議）安全隧道，遠程實現對私網資產的安全掃描。
私網安全評估架構如圖2所示。其中，針對私網設備無法實現自動掃描的問題，利用部署在私網平臺的機，由機與集中平臺（SOC平臺）建立通訊通道，通過公網穿透打通集中平臺（SOC平臺）與私網資產的網絡層可達性。機接收集中平臺（SOC平臺）控制機下發的安全評估指令并轉發私網資產；私網資產將安全指令反饋數據返回給機；機上報安全評估指令結果給集中平臺（SOC平臺）控制機進行備案。整個過程采用心跳機制進行?；睢?/p>
的角色分為：
SOC平臺公共（Public Proxy）：部署于中心SOC平臺內網，與安全評估子系統同一個子網IP網段；
業務平臺分布式本地（Local Proxy）：直接通過私網日志采集改造，與業務平臺NAT不可達資產都是內網網段。
的作用如下：
隧道協商與建立：各業務平臺分布式本地主動向中心SOC平臺的外網防火墻進行L2TP隧道協商，協商成功后建立起Hub-and-Spoke的L2TP隧道；
數據流通過隧道Push推送與交互：對于安全評估子系統內掃描工具發起的掃描流量，先到達SOC平臺公共，由公共將掃描流量封裝進已建立好的L2TP隧道，并轉發給業務平臺分布式本地，本地收到流量后進行隧道解封，還原內層原始IP包頭，將原始掃描流量送到NAT不可達資產上。
通過該方法可有效解決防火墻NAT后不可達資產的自動化安全風險評估問題，且不改變現網的組網架構，業務配置變動實現零配置。通過分布在各業務平臺的本地與中心SOC平臺的公共進行隧道連接，并通過公共與本地之間的交互，實現掃描流量的轉發[11]。
（3）掃描器聯動調度
一鍵式安全掃描評估依托于SOC安全管理平臺，由SOC平臺與眾多第三方安全掃描子系統聯動進行掃描，可根據實際應用情況進行相應的接口擴展。通過與安全評估子系統聯動的高耦合度，實現日常安全評估工作的任務自動化。
SOC平臺掃描器聯動調度流程如圖3所示。
SOC平臺調度分為直連掃描調度和私網掃描調度，具體如下：
直連掃描調度是指掃描器與被掃描設備之間網絡可達，直接通過SOC平臺調度程序向掃描器發起資產掃描請求，掃描器在掃描完成后再向SOC平臺反饋掃描結果；
私網掃描調度是指掃描器與被掃描設備之間網絡不可達，需要借助私網評估的VPN（Virtual Private Network，虛擬專用網絡）隧道建立連接打通網絡后，通過公共和本地間IP掃描報文的傳遞，把掃描器的IP掃描請求報文發送到私網內的被掃描資產，同時把掃描結果應答傳遞回掃描器，最后再由掃描器將結果反饋到SOC平臺集中展現。
具體步驟如下：
步驟1：通過SOC的安全評估任務計劃模塊，在計劃任務配置時設定掃描資產的私網IP地址段與相關聯的本地IP地址（本地的IP地址即通過L2TP建立隧道后撥號獲得的唯一地址），通過掃描資產+相關聯的本地對，解決私網網段地址重疊問題；
步驟2：可通過預先將掃描工具的網關配置為公共地址，在任務執行時將掃描工具的流量牽引到公共上來；
步驟3：公共的網卡設為混雜模式，捕獲到該掃描工具的掃描流量，通過已建立好的L2TP隧道，封裝報文后通過L2TP隧道轉發給本地；
步驟4：本地將L2TP隧道報頭拆除，露出內層的原始掃描報文，并將內層掃描報文的源IP地址修改為本地IP，同時在map映射表中記錄下這一映射關系，之后將掃描報文轉發給被掃描的最終資產；
步驟5：最終資產收到掃描報文后，根據掃描的內容進行響應，將結果回包給本地；
步驟6：本地收到最終資產的掃描結果回包，命中map映射表的映射關系，將報文的目的IP地址還原為掃描工具的IP地址，并封裝報文通過L2TP隧道返回給公共；
步驟7：公共收到此報文后將L2TP隧道報頭拆除，露出內層的原始掃描結果返回報文，并轉發給掃描工具進行結果分析；
步驟8：掃描工具得到掃描結果報文進行分析，將分析結果上傳到SOC平臺進行結果備案。
3 現網測試效果
利用“一鍵自助安全評估功能模塊”節省了以往人工安全掃描、基線檢查的大量時間，并縮短了評估周期，極大地提高了安全評估工作效率。下面是以部門安全管理員的角色執行一次安全巡檢、調度整改的閉環使用過程。
3.1 添加掃描評估任務
在“掃描任務管理”菜單下新增掃描評估任務，按系統提示步驟依次輸入掃描周期、掃描方式、掃描設備和掃描范圍等信息，完成任務的添加，如圖4所示。
3.2 掃描評估任務執行
任務添加完成后，系統會根據任務周期定時開始執行掃描任務，任務執行過程中可通過任務狀態查看任務是否執行結束，如圖5所示。
3.3 評估任務結果查看
任務執行完成后，在漏洞結果管理中可查看到每個資產需要整改的漏洞信息，雙擊一條漏洞記錄可查看到該漏洞的詳細信息，包括漏洞名稱、漏洞CVE（Common Vulnerabilities & Exposures，公共漏洞和暴露）編號、漏洞描述、漏洞解決方案等，并且還能查看到該漏洞每次掃描的歷史狀態信息，如圖6所示。
3.4 漏洞整改與備案
部門管理員根據漏洞的解決方案對相應的資產進行漏洞整改，整改完成后需要在系統上填寫漏洞整改說明，完成漏洞的整改備案，如圖7所示。
4 結束語
本文通過研究部署并實現一鍵式自助安全評估，可極大地提高安全評估的效率，從而提升應對威脅的響應速度。在傳統評估方式下，完成一套業務平臺全方位的安全評估平均時長是8小時，通過一鍵式自助安全評估項目的實施，完成同樣平臺的安全評估僅需要1小時，大大減少了人力成本的投入。同時，通過一鍵式自助安全評估將日常安全評估工作作為一個周期性的工作流程固化到統一安全管理平臺中，有針對性地對存在風險的資產進行定制化的安全評估工作，能夠進一步提高評估工作的準確性，從而推動并實現安全評估的自動化、日?；?、全面化和集中化。
參考文獻：
[1] 汪玉凱. 信息安全是國家安全的當務之急[J]. 中國報道， 2014（122）： 2.
[2] 國家互聯網應急中心. CNCERT互聯網安全威脅報告[R]. 2014.
[3] IP網絡安全技術編寫組. IP網絡安全技術[M]. 北京： 人民郵電出版社， 2008.
[4] 李蔚. 業務安全評估初探[J]. 信息安全與通信保密， 2012（8）： 113-115.
[5] 陳濤，高鵬，杜雪濤，等. 運營商業務安全風險評估方法研究[J]. 電信工程技術與標準化， 2013（11）： 71-75.
[6] 曹永剛. 電信運營商業務網安全風險評估及防范措施探討[J]. 電信網技術， 2012（2）： 41-44.
[7] 何國鋒. 電信運營商在大數據時代的信息安全挑戰和機遇探析[J]. 互聯網天地， 2014（11）： 55-58.
[8] 岳榮，李洪. 探討移動互聯網安全風險及端到端的業務安全評估[J]. 電信科學， 2013（8）： 74-79.
[9] 周鳴，常霞. 電信移動業務網絡風險評估和安全防護[J]. 信息網絡安全， 2013（10）： 14-16.
資產安全評估范文3
【關鍵詞】網絡終端 數據 系統功能模塊 量化模型
1 引言
隨著計算機網絡的普及和信息化的推進，網絡與信息安全問題也日益突出，我國對網絡信息系統的依賴性日益加深。國外在研究網絡與信息系統安全風險評估方面已有數十年的經驗，IT發達國家在信息系統風險評估的標準、技術、架構、組織等方面都已非常成熟。而國內，更重視網絡系統內部數據的安全保護，網絡終端是重要文件和重要數據的存放源頭，許多安全事件往往發源于網絡終端，來自終端的泄密事件、安全威脅也頻頻顯現，網絡終端安全管理已成為信息安全管理體系的薄弱環節。
對網絡終端安全性進行客觀、系統地評估是保障信息安全的基礎。通過對安全隱患及未來風險的分析，并評估這些風險可能帶來的安全威脅及影響程度，將有助于安全人員針對性地抵御威脅、全面提高網絡信息系統安全防護能力，最大程度地保護信息資產。
目前，國內關于評估網絡終端安全狀況還沒有統一的標準，網絡終端安全的關鍵點尚不明晰。本文將對網絡終端安全狀況評估指標體系作出有益探討，嘗試量化網絡終端評估系統指標，將網絡終端安全風險控制在可靠水平，從而最大程度提高終端安全水平。
2 網絡終端安全評估方法
選擇何種安全評估方法將直接影響到評估過程的各個環節，可能左右最終評估結果?，F有的風險評估方法大致可分為定量風險評估、定性風險評估及綜合風險評估三大類。
2.1 定量風險評估
定量評估對構成風險的各個要素和潛在的損失水平賦以數值，當量度風險的所有要素都被賦值后，建立起綜合評價的數學模型，從而完成風險的量化計算。定量評估數據較為直觀，分析方法相對客觀，但部分風險被量化后存在被曲解的可能性。常用的定量評估方法包括模糊綜合評判法、BP神經網絡、灰色系統等。
2.2 定性風險評估
定性評估主要依據研究人員的知識和經驗，或業界標準、歷史教訓、政策走向等非量化
資料對系統風險作出評估，是一種模糊分析方法。定性分析操作相對簡單，結論較為全面，但主觀性強，易受到評估人員直覺、經驗的影響。常用的定性評估方法包括專家評價法、歷史比較法、事故樹分析法、因果分析法、邏輯分析法等。
2.3 綜合風險評估
綜合風險分析是將定性與定量評估相結合的一種分析方法，在不容易獲得準確數據的情況下使用定性分析，在定性分析的基礎上采取定量方法以減少主觀性。最常用的綜合風險分析評估法即層次分析法（簡稱AHP），它是一種綜合了定性與定量分析、是人腦決策思維模型化的決策方法。
3 網絡終端安全評估指標體系研究
3.1 建立評估體系的原則
我國《信息安全風險評估規范》將風險評估的基本要素定義為：資產、威脅、脆弱性、風險、安全措施。網絡終端安全狀況評估中主要牽涉資產、威脅、脆弱性三個要素。建立網絡終端安全評估指標體系時，需要考慮以下4大原則：（1）必須遵循國際、國內信息安全評估規范，評估指標體系還應符合業務要求及應用特點，盡量滿足用戶及應用環境對網絡終端安全性的要求。（2）設定的指標應涵蓋終端安全所有風險要素，覆蓋技術、管理各個層面，也囊括主觀、客觀各種因素。（3）指標的含義、目標應當明確，指標體系整體條理清晰，數據收集渠道應具現實操作性，保障定量分析的可行性。（4）評估指標要獨立于網絡終端安全的具體內容，不與其他指標內涵發生重疊。
3.2 網絡終端安全評估框架設計
本文遵循評估體系建立原則，對網絡終端安全狀況建立起層次評估指標體系，擬將指標體系分為四層，詳見表1。
實現網絡終端安全狀況評估指標體系，分為三步：一是建立層次評估指標體系；二是確定評估指標；三是對各個評估指標賦予權值。指標數據有多種來源，包括問卷調查、人員訪談、實地調查、輔助工具和文檔審查等。之后，參照終端安全評估指標體系，采用文檔審查、調查表等方式獲得安全狀況數據，再利用漏洞掃描工具、入侵檢測工具等技術對資產、威脅、脆弱性進行識別和分析。
3.3 網絡終端安全量化評估模型建立
本文采用多級模糊綜合評價方法建立評估模型。模糊綜合評價方法先通過構造等級模糊子集，對被評估事物的模糊指標進行量化，再利用模糊變換原理對各指標進行綜合評價。
3.3.1 建立評價對象因素集
設層次型評估指標體系為U，把因素集U分為n組，記做U={U1，U2，…，Un}，其中Ui∩Uj≠Φ，i≠j（i，j=1，2，…，n）。設第i個子集為Ui={Ui1，Ui2，…，Uin}，其中i表示第i組的單因素個數。
3.3.2 設置評判集和分配權重系數
設V={V1，V2，…，Vn}為評判集，由不同等級的描述組成的集合。m一般取奇數，評判集適用于任一層次和任一因素的評判。
3.3.3 單級模糊綜合評價
成立一個評估專家小組，由專家對每個評估指標評判，并確定評估指標屬于等級評判集中哪個級別，統計評估指標被評判為相應等級的專家數，相應等級專家數占專家總人數的百分比，即得到評估指標在此等級的隸屬度，進而得到模糊關系矩陣Rj。根據單因素模糊關系矩陣Rj，利用復合運算求出子因素Ui的綜合評判結果：Bi=AiΟRi=（bi1 bi2 … bim），i=1，2，…，n。
3.3.4 計算最終綜合評價結果
對單因素評價結果Bi再進行高層次的模糊綜合評判，由較低層次的綜合評判結果Bi構成高一層的單因素模糊關系矩陣R。之后，對多級因素集進行綜合評價，得出評判因素U的最后評價結果為：B=AΟR=（b1 b2 … bm）。可根據評估指標的層次情況循環本輪計算，直至得到最滿意的綜合評價結果。
3.3.5 綜合評價結果分析
模糊綜合評價的最終結果不是一個單值，而是一個模糊子集，這樣，能比較準確地體現對象本身的模糊狀況。由多級模糊綜合評價法量化評價的具體過程可以看出，最底層指標需要人為做隸屬度判斷，所有上層指標的隸屬度均根據下層計算得到。網絡終端安全評估主要是識別和分析資產價值、威脅及脆弱性。根據資產（A）在保密性、完整性、可用性要求的不同程度，將三個屬性劃分為五個等級，對不同等級賦予不同數值；根據威脅（T）出現的頻率對威脅進行賦值并劃分五個等級；脆弱性（V）識別針對每一項資產，同樣將其劃分為五個等級。對網絡終端安全評估值進行五等級劃分，分別是好、良、中、差、極差，等級越高對終端及網絡造成的影響越大。表2是等級劃分表及相應的安全狀況。
根據三個基本要素的最終賦值，并結合網絡終端安全評估模型（圖1），分析計算出網絡終端安全評估值，計算過程分四步：（1）由A、T、V及風險發生概率決定網絡終端安全評估值。（2）計算威脅利用脆弱性導致終端安全事件發生的可能性P，記為P=F1（T，V），P=T+V。（3）對資產造成的損失程度和威脅值、脆弱性、資產價值有關，記為L=F2（P，A），L=PXA。（4）考慮威脅發生并對資產造成的損失與風險發生的概率R，得出終端安全評估值S，S= F（L，R） ，S=LXR。
3.4 網絡終端安全評估系統的設計與實現
3.4.1 系統需求分析
安全性評估分析，重點評估風險可能造成的威脅及影響，向系統管理員提交細致可靠的分析報告，讓管理員掌握策略漏洞和安全狀況，并提出有針對性的抵御威脅的防護對策。網絡終端安全評估系統需要滿足7點需求：（1）識別網絡終端資產。（2）對網絡終端進行漏洞掃描，提供準確、客觀的定量評估數據。（3）動態監測網絡運行的終端資源，分析可能面臨的威脅及發生的可能性。（4）進行終端安全評估，得到綜合量化評估結論。（5）將數據、量化評估結果以報告形式輸出。（6）給出安全解決方案或加固建議等，提高網絡終端安全性。（7）管理使用評估系統的用戶，分配不同權限。
3.4.2 網絡終端安全評估系統設計
為減少系統資源占用，本文將評估系統設計在內網一臺服務器上，設軟件運行環境為Windows 2002/2003 Server，服務器被要求接入核心交換機。系統架構如圖2所示。
3.4.3 系統功能模塊實現
網絡終端安全評估系統主要分為五大模塊：資產識別、脆弱性管理、威脅管理、終端安全評估、評估響應。
（1）資產識別模塊。資產識別模塊主要包括資產信息管理子模塊和資產識別及賦值子模塊。前者主要管理本地終端和遠程終端的基本信息，后者從資產數據庫里讀取終端IP地址、用戶名、密碼等信息，建立主機對象，將主機對象傳給回調函數。
（2）脆弱性管理模塊。該模塊包含漏洞掃描和脆弱性賦值兩個子模塊。掃描被評估的本地終端和遠程終端，并確定應用程序和操作系統所存在的漏洞以及對終端資產的脆弱性權重進行賦值。
（3）威脅管理模塊。該模塊包括資源監測和威脅賦值兩個子模塊。其中，資源監測模塊動態監測本地、遠程終端資源，獲取資源狀態信息。
（4）終端安全評估模塊。分為快速、完全評估兩大子模塊?？焖僭u估根據量化評估模型對終端安全進行評估；完全評估則根據建立的安全評估指標體系里的指標因素集，利用多級模糊綜合評判方法進行評估。
（5）響應模塊。根據評估結果，匹配響應庫里定義的規則，給出解決方案或加固建議。
系統接口設計方面，將系統分為三層：用戶接口層、邏輯處理層和數據中間層。接口層用于接受用戶輸入及顯示評估報告；邏輯處理層實現上述五大模塊的各項功能；數據中間層則屏蔽數據庫細節，連接系統和多個數據庫。系統接口設計如圖3所示。
4 結束語
本文提出一套網絡終端安全評估指標體系，建立起網絡終端量化評估模型，將評估項目盡可能具體量化，以減少人為主觀影響。下一步可考慮根據安全評估系統，對終端安全量化評估模型做進一步探索和改進，完善系統設計并擴充評估功能。
參考文獻
[1]國家質量技術監督局.GB17859-1999，計算機信息系統安全保護等級劃分準則[S].1999.
[2]國家質量監督檢驗檢疫總局.GB/Z 24367-2009，信息安全技術 信息安全風險管理指南[S].2009.
[3]吳亞飛，李新友，祿凱.信息安全風險評估[M].北京：清華大學出版社，2007（04）.
[4]郭寧.信息安全風險評估指標體系研究[J].信息安全標準與技術追蹤，2006，5：17-19.
[5]Xiaoping Wu，Yu Fu，Jiasheng Wang.Information systems security risk assessment on improved fuzzy AHP[C].Compution，Communication，Control，and Management.International Colloquium，2009，4：365-369.
[6]GB/T 20984-2007，信息安全技術信息安全風險評估規范[S].2007.
作者單位
資產安全評估范文4
關鍵詞：通信系統；風險評估
中圖分類號：TD7文獻標識碼：B文章編號：1009-9166（2010）032(C)-0101-01
一、風險評估的常用方法
（一）基于知識的分析方法。基于知識的分析方法又稱為經驗方法，采用基于知識的分析方法，通信網不需要付出許多精力、時間和資源，只要通過多種途徑采集相關信息，識別系統的風險所在和當前的安全措施，與特定的標準和最佳慣例進行比較，從中找出不符合的地方，并按照標準和最佳慣例的推薦選擇安全措施，最終達到消減和控制風險的目的。
（二）基于模型的分析方法?；谀Ｐ偷姆治龇椒ǎ≒latform for Risk Analysis of Security Critical System），它的評估對象是對安全要求很高的一般性系統，特別是系統的安全，它考慮到技術、人員以及與系統安全相關方面。通信網通過這種方法進行風險評估以后，就可以定義、維護系統的保密性，完整性、可用性、抗抵賴性和可靠性等。
二、通信網中風險評估的基本過程
通信網中風險評估是系統確定信息安全需求的過程，包括資產識別與評價、威脅和弱點評估、控制措施評估、風險認定在內的一系列活動。
（一）計劃和準備。在正式對通信網進行風險評估之前，應該制定一個有效的風險評估計劃，明確風險評估的目標，限定評估的范圍，建立相關的組織結構并委派責任，并采取有效措施來采集風險評估所需的信息和數據。
（二）通信網資產的識別與評估。資產是一個整個系統的組件或部分，通信網直接為其賦值因此需要系統對其進行保護。當進行資產識別時，我們要記住系統不僅是由硬件和軟件組成的。例如，資產類型可以是下列的任何一種：信息/數據；硬件；軟件；通信設施；固件；文件；資金；制造的產品；服務；環境設備；人員；組織形象。資產的存在形式有多種，可以是物理的，可以是邏輯的，也可以是無形的。需要注意的是，列入評估清單的信息資產，一定要是在評估范圍內且與通信網相關的資產，否則，一方面清單過于龐大不便于分析，另一方面，分析結果也會失去準確性和應有的意義。得到完整的通信網資產清單之后，組織應對每項（類）資產進行賦值。
（三）識別并評估通信網內的威脅。識別并評價資產之后，系統應該識別每項資產可能面臨的威脅。識別威脅時，應該根據資產目前所處的環境條件和以前的記錄情況來判斷。需要注意的是，一項資產可能面臨多個威脅，而一個威脅也可能對不同的資產造成影響。
識別資產面臨的威脅后，還應該評估威脅發生的可能性。通信網應根據經驗或相關統計數據來判斷威脅發生的頻率或概率。就威脅本身來說，評估威脅可能性時有兩個關鍵因素需要考慮，一個是威脅源的動機（Motivation）（利益趨勢、報復心里、玩笑等），另一個是威脅源的能力（Capability）（包括其技能、環境、機會等），這兩個因素決定了不代外部條件時威脅發生的可能性，通常來講，威脅源的能力和動機都可以用“高”、“中”、“低”這三級來衡量。表1描述了這三個可能性級別。
表1可能性級別表
（四）識別并評估通信網內的弱點。光有威脅還夠不成風險，威脅只有利用了特定的弱點才可能對資產造成影響，所以，系統應針對每一項需要保護的信息資產，找到可被威脅利用的弱點。常見的弱點有三類：（1）技術性弱點――系統、程序、設備中存在的漏洞或缺陷，比如程序設計問題和編程漏洞。（2）操作性弱點――軟件和系統在配制、操作、使用中的缺陷，包括人員日常工作中的不良習慣，審計或備份的缺陷。（3）管理性弱點――策略、程序、規章制度、人員意識、組織結構等方面的不足。需要注意的是，弱點是威脅發生的直接條件，如果資產沒有弱點或弱點很輕微，威脅源就很難利用其損害資產，哪怕它的能力多高動機多強烈。
（五）識別并評估通信網中現有的安全措施。通信網可通過相關文檔的復查，人員面談、現場勘查、清單檢查等途徑就可以識別出現有的安全措施，對已識別的安全措施，應評估其效力，這可以通過復查控制的日志記錄、結果報告、以及技術性測試等途徑來進行?？刂频男Яσ话阋部梢酝ㄟ^“高”、“中”、“低”三個等級來表述。
系統在選擇安全措施后，應該對安全措施的效力進行初步評估，也就是看實施新措施之后還有什么殘留風險。要知道，絕對的風險（即零風險）是不存在的，安全措施不是萬能的，因為引入新措施而給系統帶的變化，包括安全措施自身存在的弱點，都可能降低安全措施的效力，或者引入新的風險。
對通信網來說，應該力求將殘留風險保持在可接受的范圍內，即如下公式所示：
作者單位：神華寧夏煤業集團大峰露天煤礦調度室
參考文獻：
[1]信息技術安全管理指南ISO/IEC17799:2000.
[2]閔京華,王曉東,邵忠巋,朱衛國.信息系統安全風險的概念模型和評估模型,2004.8.
資產安全評估范文5
關鍵詞：安全風險 模糊AHP算法 無線通信鏈路
中圖分類號：V249.1 文獻標識碼：A 文章編號：1007-9416（2013）10-0196-03
隨著信息技術的發展與信息網絡系統的廣泛應用，信息網絡系統的安全變得尤為重要。信息系統安全風險評估作為信息安全管理工作中的重要組成部分和基礎性工作，是掌握信息系統安全狀況，合理建立信息安全保障措施的重要手段。無線通信鏈路因具有開放性，使得攻擊者進行監聽、篡改、偽造等非授權訪問成為可能，對無線通信鏈路進行安全風險評估，可以為無線通信系統安全防護措施的選擇提供參考。
現有的文獻中，文獻[1]通過確定資產價值并利用公式法對通信網單個資產威脅類風險值進行了研究；文獻[2]提出了利用層次分析法對戰術通信網進行威脅評估的辦法。但很少有文獻將無線通信鏈路安全風險作為具體的評估對象進行研究，大多使用單一的AHP算法進行風險評估，評估結果具有很強的主觀性，且缺少有效的風險等級計算方法。針對上述問題，本文結合實際工程背景，將無線通信鏈路安全風險作為具體的評估對象，通過對無線通信鏈路進行安全性分析，構建了無線通信鏈路安全風險評估指標體系，采用模糊AHP算法實現對資產、威脅、脆弱性的綜合評估，最后利用矩陣法完成風險值的計算。
1 模糊AHP法原理
1.1 AHP法
AHP（analytic hierarchy process，層次分析法）是美國運籌學家T L Saaty教授提出的一種簡便靈活而又實用的多準則決策方法，它是一種定性和定量相結合的多目標決策方法。其主要步驟為：
Step1：構造遞階層次結構。
Step2：構造判斷矩陣。根據1-9比例標度[3]對同一層次的各元素相對上一層次中某一準則的重要性進行兩兩比較，構造比較判斷矩陣A。
Step3：計算判斷矩陣特征向量和最大特征值。判斷矩陣特征向量W的計算一般采用方根法進行，其公式為：
（1）
特征向量W=[w1，w2，…，wn]T。最大特征值公式為：
（2）
其中，A為判斷矩陣，（AW）i為AW的第i個元素。
Step4：判斷矩陣一致性檢驗。
首先，計算一致性指標CI
（3）
然后，從平均隨機一致性指標表中查出相對應的RI，對于1-9階判斷矩陣，RI值如下表所示：
最后，計算一致性比例CR。
（4）
當CR
層次分析法對于解決多層次、多目標的大系統優化問題行之有效，但它也存在著一定的局限性，主要表現在：衡量相鄰兩個指標重要性的標度值一般采取專家打分法確定，具有一定的主觀性；在綜合指標的合成中，局限于線形加權的情形，且層次分析法得出的權值雖然以精確量的形式給出，但是其本身具有模糊性[4]。因此，本文將模糊評價法與層次分析法結合，可降低構造判斷矩陣的主觀性。
1.2 模糊綜合評價法
模糊綜合評判法是對多種屬性的事物，或者說其總體優劣受多種因素影響的事物，做出一個能合理地綜合這些屬性或因素的總體評判。其具體步驟是[4]：
Step1：構造指標因素集和評判集。因素集記為U={u1，…，un}，評判集記為V={v1，…，vn}。
Step2：進行單因素評判，確定模糊關系矩陣R。
模糊關系矩陣為：
（5）
其中，rij為U中因素ui對V中等級vj的隸屬關系。
Step3：多因素模糊綜合評判。先從最低層屬性指標層開始，以子目標屬性指標權值向量Ai和單因素模糊評價矩陣尺 進行模糊矩陣合并運算，得到子目標的綜合評價向量，即Bi=Wi*Ri，從而得到單因素模糊評價矩陣，再依層次往上評價，直到最高層，得出總目標層的綜合評價結果。
Step4：分析處理并綜合評價。對模糊綜合評判結果Bi做分析處理，再根據最大隸屬度原則即可得出綜合。
2 無線通信鏈路安全風險指標體系設計
安全風險評估包括3個要素，即：資產、威脅和脆弱性[5]。以無線通信鏈路為例，整個鏈路可以看作一個單一資產，其安全風險評估則是基于整條通信鏈路實施。因此，我們重點分析無線通信鏈路的威脅及脆弱性。
機密性、完整性和可用性是評價資產的三個安全屬性，資產的識別就是通過分析統計信息系統的各種類型資產及資產信息，確定資產的機密性、完整性和可用性。無線通信鏈路中的典型資產包括編解碼器、加密機、調制解調器、發射機、接收機等硬件設備以及相關的應用軟件。任何一個資產受到威脅都將對整個通信鏈路造成嚴重的損失。資產按其重要性分為5個等級，由高到低依次用數字5-1表示[5]。本文將整個鏈路結構定義為一個組合的資產，安全風險評估也是基于整條通信鏈路實施。無線通信鏈路資產遞階層次結構如圖1所示。
威脅按表現形式來分包括三個方面：技術威脅、人員威脅和環境威脅。通過調研，無線通信鏈路中技術威脅有：物理攻擊、干擾、篡改、監聽；人員威脅有：無惡意人員誤操作、惡意人員誤操作；環境威脅有：惡劣環境、設備故障。威脅發生可能性分為5個等級，由高到低依次用數字5-1表示[5]，其遞階層次結構如圖2所示。
脆弱性一般為三大類，即技術類脆弱性、管理類脆弱性、操作類脆弱性。經問卷調查、文檔查閱、人侵檢測、滲透測試等方法可識別脆弱性。無線通信鏈路存在的技術類脆弱性有：加密算法簡單、缺乏防病毒措施；管理類脆弱性有：管理制度不健全、電磁環境復雜、設備老化；操作類脆弱性有：設備配置不當、工作人員業務不熟練。脆弱性發生可能性同樣分為5個等級，由高到低依次用數字5-1表示[5]，其遞階層次結構如圖3所示。
3 基于模糊AHP法安全風險評估
3.1 AHP法計算權值
以資產評估為例，根據圖1中各評估要素及其相互關系，通過專家賦值建立各級判斷矩陣并采用方根法分別計算個體排序向量、最大特征值λmax和一致性比例CR。各判斷矩陣的計算結果如表1-表4所示，通過計算可知，各判斷矩陣中CR均小于0.1，一致性檢驗通過。
3.2 模糊綜合評判
根據資產價值指標結構，準則層相對于總目標的權重仍采用傳統的AHP方法計算，第三層各指標因素相對于準則層的權重由于關系比較復雜而采用模糊綜合評判方法，應用模糊數學模型進行綜合評價，步驟如下：
將各指標因素的評語分為5個等級，分別為：很高、高、中、低、很低，通過專家評價的方式，邀請10名專家根據確定的評語級對各指標予以隸屬度評價，可以確定一個從因素集到評價集的模糊關系矩陣。從而得出對應的機密性、完整性、可用性模糊關系矩陣為：
由Bi=Wi·Ri得模糊綜合評價矩陣如下：
B1=W1·R1=（0.4234，0.333，0.1853，0.0365，0.0218）；
B2=W2·R2=（0.5896，0.2487，0.1029，0.0402，0.0186）；
B3=W3·R3=（0.2886，0.3801，0.267，0.0365，0.0278）。
根據最大隸屬度原則，機密性、完整性、可用性綜合評判等級分別為：5、5、4。
3.3 確定資產價值
由資產機密性、完整性、可用性綜合評判等級及三者相對權重可得資產價值為：
A=W·（5，5，4）T=（0.311，0.196，0.493）·（5，5，4）T=4.507>4.5
參照資產重要性等級表可知，該資產價值等級為5。
3.4 威脅及脆弱性評估
參照前文資產評估方法，經計算可知，該鏈路威脅等級綜合賦值為3，脆弱性嚴重程度綜合賦值為3。
4 風險等級計算
本文采用矩陣法[5]計算風險值。步驟如下：
Step1：計算安全事件發生可能性等級。
首先，構建安全事件發生可能性矩陣如表5所示，A表示威脅發生頻率，B表示脆弱性嚴重程度。
然后，根據經評估得到的該通信鏈路脆弱性的嚴重程度以及威脅發生的頻率，由表對照得出安全事件可能性數值為12。最后，根據下表可得安全事件發生可能性等級為3。
Step2：計算安全事件損失等級。
首先，構建安全事件損失矩陣如表7所示，C表示資產價值。
然后，根據經評估得到的脆弱性嚴重程度以及資產價值，由表對照可以得出安全事件損失數值為16，再由根據下表得出安全事件損失等級為4。
Step3：計算安全事件風險值。
構建風險矩陣如表9所示，D表示損失等級，E表示可能性等級。
根據前兩步計算出的安全事件發生的可能性等級以及所造成的損失等級，由上表對照得出安全事件風險數值為16，再根據下表可判斷得出該系統無線通信鏈路安全風險等級為3，即中度風險值。
通過威脅和脆弱性評估過程可知，該鏈路存在的主要風險是電磁環境復雜引起的干擾威脅和加密算法簡單引起的非授權訪問，我們可以通過增加抗干擾手段和更換復雜加密算法的方式降低安全風險。
5 結語
文章在詳細分析無線通信鏈路安全性的基礎上構建了一套安全風險評估的指標體系，并運用模糊綜合評價與AHP相結合的算法全面綜合地評估了無線通信鏈路資產、威脅、脆弱性等級，最終通過矩陣法計算得出安全風險值。評估方法思路清晰、結果準確、可操作性強、便于推廣，為今后各類通信網安全風險評估提供了參考。
參考文獻
[1]李振富，韓彬霞，李曉鵬，鮑池.基于AHP的通信網風險評估[J].現代電子技術，2011.34（19）：111-113.
[2]宋國春，劉忠，黃金才.AHP方法的敵地域通信網通信鏈路威脅評估[J].火力與指揮控制，2008.33（2）：16-20.
[3]孫宏才，田平，王蓮芬.層次分析法引論[M].北京：國防工業出版社，2011.
[4]王程，王睿，齊博會.基于模糊AHP法的機載指控系統效能評估[J].指揮控制與仿真，2008.30（6）：65.
資產安全評估范文6
關鍵詞：安全隱患管理；安全隱患定級；風險管理；風險評估；資產全壽命周期 文獻標識碼：A
中圖分類號：F276 文章編號：1009-2374（2017）02-0186-03 DOI：10.13535/ki.11-4406/n.2017.02.090
現代科學技術和工業生產的迅猛發展，一方面繁榮了經濟和人們的生活；另一方面現代化大生產隱藏了眾多的潛在危險。就電力系統而言，電力網絡不斷擴展，網絡構成及網絡控制更加復雜，自動化程度不斷提高，高電壓、大電流、長距離輸電使電網穩定問題愈加突出?，F代化的工業和人民生活對電的依賴程度越來越高，對電力可靠性和電壓質量的要求不斷提高，對電力設備的安全隱患排查工作的要求也越來越高。
國內電力企業經過多年的發展和總結，已逐漸擁有完善的安全隱患排查治理方式。但是基層工作人員在進行隱患排查時或是根據主觀經驗判斷或是依照范例進行對比，各種方法均存在一定的局限性，無法將隱患的嚴重程度量化。本文主要是借鑒基于資產全壽命周期的風險評估法，對事件發生可能性和影響程度進行量化分析，以定量方法確定安全隱患分級，可以更準確地反映安全隱患的嚴重情況。
1 安全隱患概述
1.1 安全隱患定義與分級
安全隱患具體指安全風險程度較高，可能導致事故發生的作I場所、設備設施、電網運行的不安全狀態、人的不安全行為和安全管理方面的缺失。
根據可能造成事故后果的影響程度，目前電力企業安全隱患分為Ⅰ級重大事故隱患、Ⅱ級重大事故隱患、一般事故隱患和安全事件隱患四個等級。其中，Ⅰ級重大事故隱患和Ⅱ級重大事故隱患合稱為重大事故隱患。
1.2 安全隱患定級方法
1.2.1 主觀判斷法。主觀判斷法是指工作人員在匯總現場情況后，征詢有關專家（一般是基層骨干）的意見，對意見進行統計、處理、分析和歸納，客觀地綜合多數專家經驗與主觀判斷，做出合理估算，經過反饋和調整后，對安全隱患進行定級的方法。主觀判斷法的優點是方法簡便易行，定級較快。
但是，由于缺乏統一的“隱患標準”，基層工作人員在隱患判斷、認定、分級等具體工作中，往往只能依據自身專業知識進行主觀判斷，寬嚴程度隨人、隨單位而變，造成安全隱患定性不準、分級不當、判定標準不一致、隱患信息不翔實等問題。
1.2.2 范例辨識法。范例辨識法是指工作人員參照安全生產事故隱患范例，依據其中編制在列已確定的安全隱患，對比實例、分類樣本、描述、文字說明等形式的表述，在實際工作中排查認定安全隱患。
這種方法有效提高了相關工作人員，特別是一線員工和管理人員排查發現安全隱患、給隱患分級分類的準確性，切實促進了隱患排查治理工作的開展，范例辨識法本質上仍屬于一種定性方法。
1.3 借鑒資產全壽命風險管理思路輔助定級
上述定性方法面臨的主要問題是，電力企業基層人員對隱患排查治理工作的認知程度有限、生產系統已有設備缺陷管理流程和隱患排查治理流程之間存在差別，所以無論是主觀判斷法還是范例辨識法均存在一定局限性。我們可以借鑒資產全壽命周期風險管理的思路，采用一種定量方法來輔助安全隱患定級。安全隱患具有安全風險程度較高的特征，因此就可以采用量化風險的基本思路，用資產全壽命周期的風險評估法為安全隱患定級。風險評估法較上述方法，主要在于合理考慮事件發生可能性，同時擴展事件影響程度的維度。
2 基于資產全壽命周期的風險評估方法
2.1 基于資產全壽命周期風險評估方法
按照風險評估標準，采取既定的評估方法，從風險發生的可能性與風險影響程度兩個方面進行量化，綜合評定風險值和風險等級：
風險（Risk）=風險發生的可能性（P）×風險影響程度（F）
式中：R為風險值；P為風險發生的可能性；F為風險影響程度。
2.2 定量計算風險
在風險評估過程中，各專業也可根據自身的專業特點對風險評估標準進行適當調整，選擇不同的維度或者增加風險評估模型進行識別和評估，但不同評估標準對風險等級的劃分應保持一致。本文將以全面風險評價為主要模型工具。
2.2.1 風險發生的可能性P。風險發生的可能性分為五個級別，分別是極低、低、中等、高、極高。對應業務發生頻率為：可能每5年以上發生該類風險（概率極低）；可能每1～5年發生該類風險（概率低）；可能每年發生該類風險（概率中等）；可能每半年發生該類風險（概率高）；可能每月發生該類風險（概率極高）。以上依次對應1～5分。
2.2.2 風險影響程度F。風險影響程度從電網安全、人員傷亡、社會形象、直接經濟損失四個維度分析確定，選取四個因素的最高值作為損失度。每個維度的風險影響程度分為五個級別，并依次對應1～5分。該五個級別的取值參照《資產全壽命風險評估模型》所定義的取值范圍，結合公司對人身傷亡事故、經濟損失的承受能力調整后確定。
即：
F=Fmax=Max（F1，F2，F3，F4）
電網和設備安全。將電網安全風險損失度分為五個級別，分別是較小、一般、較大、重大、嚴重。具體內容執行國家相關標準法規所定級別劃分標準，對應影響程度分別為《國家電網公司安全事故調查規程》中定義的七級至一級電網和設備事件；人員傷亡。將人員傷亡風險損失度分為五個級別，分別是較小、一般、較大、重大、嚴重。對應影響程度為人員從輕傷至一至四級人身傷亡事故。
社會影響。將社會形象風險損失度分為五個級別，分別為較小、一般、較大、重大、嚴重。對應影響程度為在縣域至國際范圍不等；直接經濟損失。將直接經濟損失風險損失度分為五個級別，分別為較小、一般、較大、重大、嚴重。對應影響程度為1000萬元至數億元不等。
2.3 確定風險等級
2.3.1 一般風險。風險發生的可能性較低或風險發生后對公司的綜合損失度較小的風險（1≤風險值≤4）。
2.3.2 中等風險。介于一般風險與重大風險之間的風險（4
2.3.3 重大風險。風險發生的可能性較高，且發生后對公司的綜合損失度較大的風險（9
Y軸：P（可能性）
X軸：F（影響程度）
圖1 風險評估矩陣
例如：上圖中A點風險值為2，屬于一般風險；B和C點風險值都為12，屬于重大風險。
2.4 安全隱患與風險分級對應
3 基于資產全壽命的風險評估
以下實例選自某電力企業安全隱患管理平臺，將對采用風險評估法定級的結果與傳統定級方法的結果做出比較。
3.1 實例簡介
某電力公司2014年7月15日檢修公司500kV XXXX5322線#45-#47桿塔（15米）100MW光伏項目施工隱患。500kV XXXX5322線#45-#47桿塔（15米）100MW光伏項目施工中，大型作業機具距離帶電導線較近，現場作業人員較多，且該隱患可能一定時期內較長時間存在，易造成安全距離不夠導致線路故障跳閘和人員群體傷亡事故發生。
3.2 傳統評估分級
可能導致后果：依據國家電網公司《安全事故調查規程》2.2.7.1條，35千伏以上輸變電設備異常運行或被迫停運，并造成減供負荷者，構成七級電網事件。如果造成人員傷亡依據不同的人數構成不同等級的人身事故。
采用范例辨識法，查詢“輸電專業”“違章施工”相關條目，條目描述“線路保護區內起重作業，不能保證安全距離：220kV ××線#36～#37，110kV ××線#29～#30塔間通過××鋼材市場，導線最低點離地僅15米，鋼材市場起吊作業頻繁，易造成線路跳閘和人員觸電事故”，屬于“一般隱患”。
3.3 采用基于資產全壽命的風險評估分級
計算風險值：
P取值4――公司可能每半年發生該類風險（概率低）
F1取值1――符合《國家電網公司安全事故調查規程》的七級及以下級電網事件（風險損失度較?。?/p>
F2取值4――3人及以上10人以下死亡或者10人及以上50人以下重傷（風險損失度較大）
F3取值2――在地市范圍內受到影響，但該影響需要一定時間、付出一定代價消除（風險損失度一般）
F4取值1――100萬元以下（風險損失度較小）
F=Fmax=Max（F1，F2，F3，F4）=Max（1，4，2，1）=4
R=P*F=4*4=16
確定風險等級和隱患分級：風險值為16，介于（9，25），根據附表的劃分等級屬于重大風險。
3.4 比較和結論
風險評估得出的安全隱患分級和原系統錄入時評估的等級不一致，原因是本次事件評估人員未充分考慮事件發生可能性較高、長期存在且現場人員多等因素。同時，本事件可能引起較嚴重的人身傷亡事故，須引起充分重視，評估人員低估了其影響程度。
4 結語
電力企業安全隱患分級工作，是[患排查治理的基礎。安全隱患分級工作，目前普遍采用的主觀判斷法和范例辨識法，經過不斷改良和完善，已經可以較大滿足實際工作需要。采用基于資產全壽命的風險評估法，對事件發生可能性和影響程度進行量化分析，定性結合定量能更有效核證，可以更準確地反映實際情況?；谫Y產全壽命周期的風險評估法，將能重點應用于需要特別關注的、可能成為工作焦點的一些隱患的管理，可以更加準確、科學地對隱患進行定義和定級。
采用基于資產全壽命周期的風險評估法雖然能通過定量計算的方法對安全隱患輔助定級，但仍需注意其局限性：（1）雖然基于資產全壽命周期的風險評估法適用面較廣，但由于風險評估所采用的取值范圍的局限性和通用性，其評估結果有時不能準確反映出管理者期待的個性化結果，宏觀的變量取值可能難以反映微觀的事件本質，即客觀性和主觀性不能完全統一，有時應根據企業承受風險能力和實際情況對理論取值進行調整；（2）基于資產全壽命周期的風險評估法在實際使用過程中工作量較大，無法完全替代現有定級方法，其應用范圍受到一定的限制，所以應篩選出有上述特定隱患或存在爭議的實例加以運用。
相信在今后電力企業安全隱患分級工作不斷總結經驗的基礎上，基于資產全壽命周期的風險評估法會得到進一步完善，更能確切的指導隱患排查治理工作的全面有效開展。
參考文獻
[1] 國家電網公司.國家電網公司安全事故調查規程（國家電網安監[2011]2024號）[S].2011.
[2] 國家電網公司.國家電網公司安全生產事故隱患范例（一）（國家電網安監[2010]68號）[S].2010.
