對信息系統進行風險管理是實現組織業務目標的重要保證。目前國內外的信息安全風險管理模型注重技術和管理相結合，重視外部威脅風險防范，對內部威脅重視程度不夠，而內部威脅具有不易發現、破壞程度大、組織防范能力弱等特點，本文提出改進的突出內部威脅的信息安全風險管理模型，并提出構建組織信息安全文化、建立激勵機制等措施防范，以組織內部威脅。