安全评估咨询公司

安全评价是利用系统工程方法对拟建或已有工程、系统可能存在的危险性及其可能产生的后果进行综合评价和预测，并根据可能导致的事故风险的大小，提出相应的安全对策措施，以达到工程、系统安全的过程。安全评价应贯穿于工程、系统的设计、建设、运行和退役整个生命周期的各个阶段。对工程、系统进行安全评价既是政府安全监督管理的需要，也是企业、生产经营单位搞好安全生产的重要保证。

1） 安全和危险

安全和危险是一对互为存在前提的术语，在安全评价中，主要是指人和物的安全和危险。

危险，常指危害或危害因素。

安全，是指免遭不可接受危险的伤害。安全的实质就是防止事故，消除导致死亡、伤害、急性职业危害及各种财产损失发生的条件。例如，在生产过程中导致灾害性事故的原因有人的误判断、误操作、违章作业，设备缺陷、安全装置失效、防护器具故障、作业方法及作业环境不良等，所有这些又涉及设计、施工、操作、维修、贮存、运输以及经营管理等许多方面，因此必须从系统的角度观察、分析，并采取综合方法消除危险，才能达到安全的目的。

2） 事故

事故是指造成人员死亡、伤害、职业病、财产损失或其他损失的意外事件。事件的发生可能造成事故，也可能并未造成任何损失。对于没有造成职业病、死亡、伤害、财产损失或其他损失的事件可称之为“未遂事件”或“未遂过失”。因此，事件包括事故事件，也包括未遂事件。

事故是由危险因素导致的，危险因素导致的人员死亡、伤害、职业危害及各种财产损失都属于事故。

3） 风险

风险是危险、危害事故发生的可能性与危险、危害事故严重程度的综合度量。衡量风险大小的指标是风险率（R），它等于事故发生的概率（P）与事故损失严重程度（S）的乘积；

4） 系统和系统安全

系统是指由若干相互联系的、为了达到一定目标而具有独立功能的要素所构成的有机整体。对生产系统而言，系统构成包括人员、物资、设备、资金、任务指标和信息六个要素。

系统安全是指在系统寿命期间内应用系统安全工程和管理方法，识别系统中的危险源，定性或定量表征其危险性，并采取控制措施使其危险性最小化，从而使系统在规定的性能、时间和成本范围内达到最佳的可接受安全程度。因此，在生产中为了确保系统安全，需要按系统工程的方法，对系统进行深入分析和评价，及时发现固有和潜在的各类危险和危害，提出应采取的解决方案和途径。

5） 安全系统工程

安全系统安全工程是以预测和防止事故为中心，以识别、分析评价和控制安全风险为重点，开发、研究出来的安全理论和方法体系。它将工程和系统中的安全作为一个整体系统，应用科学的方法对构成系统的各个要素进行全面的分析，判明各种状况下危险因素的特点及其可能导致的灾害性事故，通过定性和定量分析对系统的安全性作出预测和评价，将系统事故降至最低的可接受限度。危险识别、风险评价、风险控制是安全系统工程方法的基本内容，其中危险识别是风险评价和风险控制的基础。

等级保护

等级保护基本概念

信息系统安全等级保护是指对信息安全实行等级化保护和等级化管理。

根据信息系统应用业务重要程度及其实际安全需求，实行分级、分类、分阶段实施保护，保障信息安全和系统安全正常运行，维护国家利益、公共利益和社会稳定。

等级保护的核心是对信息系统特别是对业务应用系统安全分等级、按标准进行建设、管理和监督。国家对信息安全等级保护工作运用法律和技术规范主机加强监管力度。突出重点，保障重要信息资源和重要信息系统的安全。

等级保护保准总体框架

等级保护基本要求构架

风险评估

风险评估的基本概念

风险评估是以安全建设为出发点，它的重要意义就在于改变传统的以技术驱动为导向的安全体系结构设计及详细安全方案制定，通过对用户关心的重要资产的分级、安全威胁发生的可能性及严重性分析、对系统物理环境、硬件设备、网络平台、基础系统平台、业务应用系统、安全管理、运行措施等等方面的安全脆弱性的分析，并通过对已有安全控制措施的确认，借助定量、定性分许的方法，推断出用户关心的重要资产当前的安全风险，并根据风险的严重级别制定风险处置计划，确定下一步的安全需求方向。

风险要素关系

风险分析原理

等保测评与风险评估的区别

目的不同

等级测评：

以是否符合等级保护基本要求为目的

-照方抓药

风险评估：

以PDCA循环持续推进风险管理为目的

-对症下药

参照标准不同

等级测评：

GB 17859-1999《计算机信息系统安全保护等级划分准则》

GA/T 389-2002《计算机信息系统安全等级保护网络技术要求》

GA 388-2002《计算机信息系统安全等级保护操作系统技术要求》

GA/T389-2002《计算机信息系统安全等级保护数据库管理系统技术要求》

GA/T 390-2002《计算机信息系统安全等级保护通用技术要求》

GA 291-2002《计算机系统安全等级保护管理要求》

……

风险评估：

BS7799 ISO17799 ISO27001 ISO27002 GBT20984-2007《信息安全技术信息安全风险评估规范》

……

流程不同

等级保护：

风险评估：

等级保护

等级保护基本概念

信息系统安全等级保护是指对信息安全实行等级化保护和等级化管理。

根据信息系统应用业务重要程度及其实际安全需求，实行分级、分类、分阶段实施保护，保障信息安全和系统安全正常运行，维护国家利益、公共利益和社会稳定。

等级保护的核心是对信息系统特别是对业务应用系统安全分等级、按标准进行建设、管理和监督。国家对信息安全等级保护工作运用法律和技术规范主机加强监管力度。突出重点，保障重要信息资源和重要信息系统的安全。

等级保护保准总体框架

等级保护基本要求构架

风险评估

风险评估的基本概念

风险评估是以安全建设为出发点，它的重要意义就在于改变传统的以技术驱动为导向的安全体系结构设计及详细安全方案制定，通过对用户关心的重要资产的分级、安全威胁发生的可能性及严重性分析、对系统物理环境、硬件设备、网络平台、基础系统平台、业务应用系统、安全管理、运行措施等等方面的安全脆弱性的分析，并通过对已有安全控制措施的确认，借助定量、定性分许的方法，推断出用户关心的重要资产当前的安全风险，并根据风险的严重级别制定风险处置计划，确定下一步的安全需求方向。

风险要素关系

风险分析原理

等保测评与风险评估的区别

目的不同

等级测评：

以是否符合等级保护基本要求为目的

-照方抓药

风险评估：

以PDCA循环持续推进风险管理为目的

-对症下药

参照标准不同

等级测评：

GB 17859-1999《计算机信息系统安全保护等级划分准则》

GA/T 389-2002《计算机信息系统安全等级保护网络技术要求》

GA 388-2002《计算机信息系统安全等级保护操作系统技术要求》

GA/T389-2002《计算机信息系统安全等级保护数据库管理系统技术要求》

GA/T 390-2002《计算机信息系统安全等级保护通用技术要求》

GA 291-2002《计算机系统安全等级保护管理要求》

……

风险评估：

BS7799 ISO17799 ISO27001 ISO27002 GBT20984-2007《信息安全技术信息安全风险评估规范》

……

流程不同

等级保护：

风险评估：