随着信息技术的迅速发展,企业越来越依赖于信息技术和服务,因此,企业所依赖的信息的保密性、完整新和可用性成为企业信息安全所要保障的内容。企业的信息安全涉及到多个方面,其控制是一个复杂的过程,风险评估为风险控制提供了基础。本文运用风险评估理论,引入了模糊综合评估法,将一个多目标、多层次、多准则的问题进行综合的评价,并将评估方法应用于实际的企业风险评估中,对该企业的信息安全状况进行了详细的分析和判别,最终得到总体风险等级。 在获得了企业信息安全风险分析结果之后,应对企业的风险进行控制。依照业界成熟的P~2DR模型,为企业建立了完整的风险控制体系,包括风险管理体系和实现管理目标的所需要的技术支持,并结合企业的实际加以实施,将管理和技术两个因素有机的结合起来,使企业的信息安全达到较高的水平。 本文所选取的应用案例中,企业的业务通信系统运行、网络平台设置和管理维护在行业内具有一定的典型性,通过对其信息安全的评估与管理,可为同类型企业的信息安全建设提供可借鉴的经验和参考。