風險評估是指從風險管理角度，依據國家有關信息安全技術標準和準則，運用科學的方法和手段，對信息系統及處理、傳輸和存儲信息的保密性、完整性及可用性等安全屬性進行科學地分析;對網絡與信息系統所面臨的威脅及存在的脆弱性進行系統的評價；對安全事件一旦發生可能造成的危害程度進行評估，并提出有針對性地抵御威脅的防護對策和整改措施。
風險評估準備是整個風險評估過程有效性的保證。由于風險評估受到組織的業務戰略、業務流程、安全需求、系統規模和結構等方面的影響，因此，在風險評估實施前，應充分做**估前的各項準備工作。信息安全風險評估涉及組織內部有關重要信息，被評估組織應慎重選擇評估單位、評估人員的資質和，并遵從國家或行業相關管理要求。
在準備階段需要做的工作內容如下：
① 確定評估目標；
② 確定評估范圍；
③ 組建評估團隊；
④ 評估工作啟動會議；
⑤ 系統調研；
⑥ 確定評估依據和評估方法；
⑦ 選擇相應的評估工具；
⑧ 制定評估方案。

信息安全風險評估的三個要素
1、風險識別
在風險評估之前，需要反復排查和辨識業務流程中的每個業務單元、各種相關活動和重要環節，看看這些項目有哪些風險，以便我們能夠對風險情況進行估計并做出基本判斷。
2、風險分析
仔細分析有風險識別的項目或過程，了解這些風險的特征，并使用明確的定義來描述它們，使用數字定義或檔位定義來明確這些風險的發生條件和程度，使人們能夠更直觀地了解這些風險的可能性和后果。
3、風險評估
第三個要素是終風險評估，即進行正式的風險評估，并對企業方案或經營目標的終影響以及風險的可能性、價格和可能后果進行明確的定量評估，讓使用者更清楚了解是否應繼續推行該計劃，是否足以承擔有關風險。

信息安全風險評估的目的是幫助企業了解系統目前和未來的風險所在，評估這些風險可能帶來的安全威脅與影響程度，降低風險帶來的損失；也為企業制定安全策略、建設和維護信息系統提供有力的依據。同時通過第三方的評估，也會讓企業的客戶提高對該企業所提供的信息技術產品和系統可靠性的信心，增強企業及其產品的競爭力。

企業在做信息安全風險評估的時候，需要注意這些內容
1、風險評估不應局限于信息化系統和網絡
風險評估所囊括的范圍，應該包括企業運營所涉及到的全部單元，不僅僅是網絡環境、信息系統，還應包括各類信息化設備、流程、制度及人員。
2、風險評估，不是為了評估而評估
風險評估，是為了不斷提高企業的信息和網絡安全水平和成熟度，從而變被動防御為主動出擊。
3、注重人員安全意識的培養
很多企業、公司在信息安全上投入大量的資金，終導致數據泄露的原因，往往卻是發生在人本身。企業，是由人組成的，因此提高人員的安全意識尤為重要。
我們服務宗旨是：以質量求生存、信譽是保證。誠信待人，靈活經營、講究效率。愿與各界朋友精誠合作，攜手共創美好的明天。
http://www.binhaimarina.cn