常用的信息安全风险评估自动化工具介绍

风险评估过程最常用的还是一些专用的自动化的风险评估工具，无论是商用的还是免费的，此类工具都可以有效地通过输入数据来分析风险，最终给出对风险的评价并推荐相应的安全措施。目前常见的自动化风险评估工具包括：

      * COBRA —— COBRA（Consultative, Objective and Bi-functional Risk Analysis）是英国的C&A系统安全公司推出的一套风险分析工具软件，它通过问卷的方式来采集和分析数据，并对组织的风险进行定性分析，最终的评估报告中包含已识别风险的水平和推荐措施。此外，COBRA 还支持基于知识的评估方法，可以将组织的安全现状与ISO 17799 标准相比较，从中找出差距，提出弥补措施。C&A 公司提供了COBRA 试用版下载： http://www.security-risk-analysis.com/cobdown.htm。

      * CRAMM —— CRAMM（CCTA Risk Analysis and Management Method）是由英国政府的中央计算机与电信局Central Computer and Telecommunications Agency，CCTA）于1985年开发的一种定量风险分析工具，同时支持定性分析。经过多次版本更新（现在是第四版），目前由Insight 咨询公司负责管理和授权。CRAMM是一种可以评估信息系统风险并确定恰当对策的结构化方法，适用于各