风险评估

（1）对风险本身的界定。包括风险发生的可能性；风险强度；风险持续时间；风险发生的区域及关键风险点。

（2）对风险作用方式的界定。包括风险对企业的影响是直接的还是间接的；是否会引发其他的相关风险；风险对企业的作用范围等。

（3）对风险后果的界定。在损失方面：如果风险发生，对企业会造成多大的损失？如果避免或减少风险，企业需要付出多大的代价？在冒风险的利益方面：如果企业冒了风险，可能获得多大的利益？如果避免或减少风险，企业得到的利益又是多少？

风险评估的主要任务包括：

    识别组织面临的各种风险
    评估风险概率和可能带来的负面影响
    确定组织承受风险的能力
    确定风险消减和控制的优先等级
    推荐风险消减对策

在风险评估过程中，有几个关键的问题需要考虑。

首先，要确定保护的对象（或者资产）是什么？它的直接和间接价值如何？

其次，资产面临哪些潜在威胁？导致威胁的问题所在？威胁发生的可能性有多大？

第三，资产中存在哪里弱点可能会被威胁所利用？利用的容易程度又如何？

第四，一旦威胁事件发生，组织会遭受怎样的损失或者面临怎样的负面影响？

最后，组织应该采取怎样的安全措施才能将风险带来的损失降低到最低程度？

解决以上问题的过程，就是风险评估的过程。

进行风险评估时，有几个对应关系必须考虑：

    每项资产可能面临多种威胁
    威胁源（威胁代理）可能不止一个
    每种威胁可能利用一个或多个弱点