随着互联网的普及和经济全球化的推进,信息系统在人们的生活、学习和工作中逐渐开始扮演着越来越重要的角色,人们对信息系统的依赖性也越来越强。许多的信息系统处于不设防或不安全状态,经常会导致信息系统遭受攻击或破坏,而信息系统安全风险评估是降低信息系统遭受危险侵扰的基础保障。近年来风险评估理论在信息系统安全领域也得到了应用与发展,目前在风险评估中采用的评估方法很多都是定性分析与定量分析的综合运用,虽然综合了定性分析与定量分析的优势,但是这些方法对风险因素的描述进行量化过程中,很少会考虑到描述方法或理论本身包含的不确定性,即模糊性和随机性,这就导致风险评估的结果偏离系统当前的实际情况,使得评估人员无法准确地做出合理的安全决策,有可能会给系统带来不必要的损失。本文在研究与综述信息系统安全风险评估理论与方法的基础上,为克服上述描述方法或理论的不确定性,重点研究可在定性分析与定量表达之间进行不确定性转化的云模型理论,提出了基于云模型的信息安全风险分析方法,该方法能较好地解决综合评估方法中存在的某些不确定性问题,可避免传统系统指标量化过程中的主观因素误差的积累,并给出了信息系统风险评价指标的云定义,以及基于云模型的信息系统风险评估过程,并通过模型的实例来仿真该模型的可行性与效果。