資訊系統面臨著各種各樣的威脅，為了減少這些威脅的可能性，引發了一個安全事件，或減少安全事件所造成的損失，資訊保安風險評估是有效的實施途徑，它有助於識別組織或系統的資訊保安環境，以認清資訊保安現狀，發現系統存在的安全問題及引發這些安全問題的因素，並瞭解系統的安全需求，分析安全策略與實際需求的差距，然後制定出適合系統的安全策略及管理和實施規範，做到及早化解風險，提高資訊保安性。
1 資訊保安風險評估基本理論
1.1 資訊保安風險
資訊保安風險具有客觀性、多樣性、損失性、可變性、不確定性和可測性等多個特點。客觀性是因為資訊保安風險在資訊系統中普遍存在;多樣性是指資訊系統安全涉及多個方面;損失性是指任何一種資訊保安風險，都會對資訊系統造成或大或小的損失;可變性是指資訊保安風險在系統生命週期的各個階段動態變化;不確定性是一個安全事件可以有多種風險;可測試性是預測和計算資訊保安風險的方法。
1.2 資訊保安風險評估
資訊保安風險評估，採用科學的方法和技術和脆弱性分析資訊系統面臨的威脅，利用系統，評估安全事件可能會造成的影響，提出了防禦威脅和保護策略，從而防止和解決資訊保安風險，或控制在可接受範圍內的風險，最大限度地保護系統的資訊保安。通過評價過程對資訊系統的脆弱性進行評價，面臨威脅和漏洞威脅利用的負面影響，並根據資訊保安事件的可能性和嚴重程度，確定資訊系統的安全風險。
2 資訊保安風險評估原理
2.1 風險評估要素及其關係
一般說來，資訊保安風險評估要素有五個，除以上介紹的安全風險外，還有資產、威脅、脆弱性、安全措施等。資訊保安風評估工作都是圍繞這些基本評估要素展開的。
2.1.1 資產
資產是在系統中有價值的資訊或資源，是安全措施的物件。資產價值是資產的財產，也是資產識別的主要內容。它是資產的重要程度或敏感性。
2.1.2 威脅
威脅是導致不期望事件發生的潛在起因，這些不期望事件可能危害系統。
2.1.3 脆弱性
脆弱性是資產存在的弱點，利用這些弱點威脅資產的使用。
2.1.4 安全措施
安全措施是系統實施的各種保護機制，這種機制能有效地保護資產、減少脆弱性、抵禦威脅、減少安全事件的發生或降低影響。風險評估圍繞上述基本要素。各要素之間存在著這樣的關係：
(1)資產是風險評估的物件，資產價值是由資產價值計量的，資產價值越高，證券需求越高，風險越小。
(2)漏洞可能會暴露資產的價值，使其被破壞，資產的脆弱性越大，風險越大;
(3)威脅引發風險事件的發生，威脅越多風險越大;
(4)威脅利用脆弱性來危害資產;
(5)安全措施可以防禦威脅，減小安全風險，從而保護資產。
2.2 風險分析模型及演算法
在資訊保安風險評估標準中，風險分析涉及資產的三個基本要素，威脅和脆弱性。每個元素都有它自己的屬性，並由它的屬性決定。資產的屬性是資產的價值，而財產的威脅可以是主體、客體、頻率、動機等。財產的脆弱性是資產脆弱性的嚴重性。在風險分析模型中，資產的價值、威脅的可能性、脆弱性的嚴重程度、安全事件的可能性和安全事件造成的'損失，兩者是整合的，它是風險的價值。
風險分析的主要內容為：
(1)識別資產並分配資產;
(2)確定威脅，並分配潛在的威脅;
(3)確定漏洞，並分配資產的脆弱性的嚴重程度;
(4)判斷安全事件的可能性。根據漏洞的威脅和使用的漏洞來計算安全事件的可能性。
安全事件發生可能性=L(威脅可能性，脆弱性)=L(T，V)
(5)計算安全事件損失。根據脆弱性嚴重程度和資產價值計算安全事件的損失。
安全事件造成的損失=F(資產價值，脆弱性嚴重程度)=F(Ia，Va);
(6)確定風險值。根據安全事件發生可能性和安全事件造成的損失，計算安全事件發生對組織的影響。
風險值=R(A，T，V)=R(F(Ia，Va)，L(T，V))
其中，A是資產;T是威脅可能性;V是脆弱性;Ia是資產價值;Va是脆弱性的嚴重程度;L是威脅利用脆弱性發生安全事件的可能性;F是安全事件造成的損失，R是風險計算函式。
3 資訊風險分析方法探析
作為保障資訊保安的重要措施，資訊安全系統是資訊保安的重要組成部分，而資訊保安風險評估的演算法分析方法，風險評估作為風險分析的重要手段，早已被提出並做了大量的研究工作和一些演算法已成為正式資訊保安標準的一部分。從定性定量的角度可以將風險分析方法分為三類，也就是定性方法、定量方法和定性定量相結合。
3.1 定性的風險分析方法
定性的方法是憑藉分析師的經驗和知識的國際和國內的標準或做法，風險管理因素的大小或程度的定性分類，以確定風險概率和風險的後果。定性的方法的優點是，資訊系統是不容易得到的具體資料的相對值計算，沒有太多的計算負擔。它有一定的缺陷，是很主觀的，要求分析有一定的經驗和能力。比較著名的定性分析方法有歷史比較法、因素分析方法、邏輯分析法、Delphi法等，這些方法的成敗與執行者的經驗有很大的關係。
3.2 定量的風險分析方法
定量方法是用數字來描述風險，通過數學和統計的援助，對一些指標進行處理和處理，來量化安全風險的結果。定量方法的優點是評價結果直觀，使用資料表示，使分析結果更加客觀、科學、嚴謹、更有說服力。缺點是，計算過程複雜，資料詳細，可靠的資料難以獲得。正式且嚴格的評估方法的資料一般是估計而來的，風險分析達到完全的量化也不太可能。與著名的定時模型定量分析方法、聚類分析法、因子分析法、迴歸模型、決策樹等方法相比較，這些方法都是具有數學或統計工具的風險模型。
3.3 定性定量相結合的風險分析方法
是因為有優點和缺點的定量和定量的方法，只使用定性的方法，太主觀，但只有使用定量方法，資料是難以獲得的，所以目前常用的是定性和定量的風險分析方法相結合。這樣，既能克服定性方法主觀性太強的缺點，又能解決資料不好獲取的困難。典型的定性定量相結合的風險評估工具有@Risk、CORA等。