对信息系统进行风险管理是实现组织业务目标的重要保证。目前国内外的信息安全风险管理模型注重技术和管理相结合，重视外部威胁风险防范，对内部威胁重视程度不够，而内部威胁具有不易发现、破坏程度大、组织防范能力弱等特点，本文提出改进的突出内部威胁的信息安全风险管理模型，并提出构建组织信息安全文化、建立激励机制等措施防范，以组织内部威胁。