風險評估：

信息安全風險評估是參照風險評估標準和管理規(guī)范，對信息系統(tǒng)的資產(chǎn)價值、潛在威脅、薄弱環(huán)節(jié)、已采取的防護措施等進行分析，判斷安全事件發(fā)生的概率以及可能造成的損失，提出風險管理措施的過程。當風險評估應(yīng)用于 IT 領(lǐng)域時，就是對信息安全的風險評估。

風險評估從早期簡單的漏洞掃描、人工審計、滲透性測試這種類型的純技術(shù)操作，逐漸過渡到目前普遍采用國際標準的 BS7799、ISO17799、國家標準《信息系統(tǒng)安全等級評測準則》等方法，充分體現(xiàn)以資產(chǎn)為出發(fā)點、以威脅為觸發(fā)因素、以技術(shù) / 管理 / 運行等方面存在的脆弱性為誘因的信息安全風險評估綜合方法及操作模型。

信息系統(tǒng)的生命周期分為設(shè)計、實施、運行維護和終銷毀這四個主要階段，每個階段進行相應(yīng)的信息系統(tǒng)安全風險評估。風險評估可以明確信息系統(tǒng)的安全現(xiàn)狀，確定信息系統(tǒng)的主要安全風險，是信息系統(tǒng)安全技術(shù)體系與管理體系建設(shè)的基礎(chǔ)。

風險評估的目的是全面、準確的了解組織機構(gòu)的網(wǎng)絡(luò)安全現(xiàn)狀，發(fā)現(xiàn)系統(tǒng)的安全問題及其可能的危害，為系統(tǒng)終安全需求的提出提供依據(jù)。準確了解組織的網(wǎng)絡(luò)和系統(tǒng)安全現(xiàn)狀。

風險評估的每一個步驟都非常重要：

步：風險辨識

進行評估之前，需要先對于每一個業(yè)務(wù)中的單元、各種相關(guān)的活動、以及業(yè)務(wù)流程里面的重要環(huán)節(jié)都進行反復的排查與辨識，看看這些項目都有著什么樣的風險，這樣子才能夠在大體上面對于風險情況有一個估計，做出一個基礎(chǔ)的判斷。

二步：風險分析

在接下來的風險評估二步，就是在那些有風險辨識度的項目或是流程上面，進行仔細的分析，看看這些風險的特征是什么，并且使用明確的定義來進行描述，從而能夠更為，特別是使用數(shù)字或是檔位定義來明確這些風險的發(fā)生條件、以及風險的程度高低，從而使得人們都能夠?qū)τ谶@些風險的發(fā)生可能性、以及所會造成的后果有著更為直觀的認知。

三步：風險評價

后一步就是進行風險的終評價了，也就是進行正式的風險評估，將企業(yè)方案、或是運營目標的終影響程度、以及風險的可能性與價格、可能的后果都進行明確的量化評估，從而使得用戶可以更為明確地了解到自己是否應(yīng)該繼續(xù)這個方案，是否足以承擔相關(guān)風險。