13、风险管理：信息系统安全的全面考量

风险管理：信息系统安全的全面考量

1. 风险管理概述

在信息系统的整个生命周期中，风险无处不在。我们通常将风险与导致损害或损失的事件联系在一起，而评估与事件相关的风险，可通过将事件发生的概率与其造成的损害相结合。最简单的方式是将这两个因素相乘，即：
[Risk(e) = Impact(e)×Likelihood(e)]
这里，(Risk(e)) 表示事件 (e) 的风险，(Impact(e)) 是事件 (e) 发生的影响，(Likelihood(e)) 是事件 (e) 发生的可能性。根据这个定义，风险就是事件的预期影响。

在日常生活中，我们无意识地经常进行类似的风险评估计算并据此做决策。例如，攀爬巨石时，由于摔倒造成的伤害通常不严重，我们可能会放弃防护措施；而攀爬高悬崖时，我们则会使用防护设备。此外，在选择不同的出行方式时，我们也会比较风险，比如长途旅行时，我们可能更倾向于乘坐飞机，因为每乘客英里的预期死亡人数在航空旅行中比公路旅行要少。

然而，很多时候我们无法对风险进行精确的定量评估，因为事件发生的概率或其影响可能未知或难以测量，尤其是在评估安全风险时，由于缺乏良好的历史数据，这种情况更为常见。此时，我们通常会采用定性风险评估，使用诸如低、中、高这样的定性类别来描述影响和可能性，并通过风险级别矩阵来组合这些类别。例如，一个风险级别矩阵可能规定，低事件可能性和中等事件影响会导致低风险级别。

在风险管理中，我们需要区分风险分析和风险管理这两个概念。风险分析主要关注识别和估计感兴趣对象的风险，而风险管理则建立在风险分析的基础上，致力于降低或处理风险。可以说，风险分析是一项技术活动，而风险管理是一项管理活动。风险管理在企业管理中起着核心作用，其重