随着信息技术的迅速发展,信息技术已经被应用到社会的各个领域,计算机网络及信息系统在政府机构、企业和科研机构等各种组织中日益普及并发挥着越来越重要的作用。信息化程度的提高给组织带来了巨大的利益和机遇,同时也带来日益严重的安全问题。风险评估是信息安全管理的根本依据,也是信息安全领域内最重要的内容之一,目前越来越多地受到人们的重视。论文对国内外信息安全风险评估与管理的研究成果及存在的问题进行综合评述,并在此基础上主要完成了以下工作和创新:首先,对国内外主流风险评估与管理标准和评估方法进行了比较分析,给出了分析结果;其次,结合国内外的研究成果,以及我国信息安全风险评估与管理的实际,提出一种融合了控制理论的、易操作的信息安全风险评估与管理模型。该模型综合了定性、定量方法的优势,同时从系统的高度来看信息系统问题,引入控制论的思想,提供了一个解决多因素复杂问题的综合评估方案,并对该主要分析流程进行了阐述;再次,在广泛研究的基础上,建立了一种多层次、多角度的安全控制策略评价指标体系,并给出了分析计算方法;最后,将该模型应用到某组织实际环境中去,给出了模型的实际应用过程与结果分析。论文提出的模型为信息安全的评估及管理决策提供了一种新的选择,具有一定的实践价值。