信息安全风险评估以资产为核心，识别资产本身存在的脆弱性和面临的安全威胁，由资产的重要性、脆弱性的严重程度和威胁发生的频率分析系统可能存在的安全风险及风险的重要程度，根据企业需求和管理层的可接受程度设置风险处置计划，将风险造成的损失尽可能降至最低。