【摘要】对信息系统进行风险管理是实现组织业务目标的重要保证。目前国内外的信息安全风险管理模型注重技术和管理相结合,重视外部威胁风险防范,对内部威胁重视程度不够,而内部威胁具有不易发现、破坏程度大、组织防范能力弱等特点,本文提出改进的突出内部威胁的信息安全风险管理模型,并提出构建组织信息安全文化、建立激励机制等措施防范,以组织内部威胁。