風險評估的步驟：

風險評估包括風險辨識、風險分析、風險評價三個步驟。　　

1.風險辨識。風險辨識是指查詢企業各業務單元、各項重要經營活動及其重要業務流程中有無風險，有哪些風險。　　

2.風險分析。風險分析是對辨識出的風險及其特徵進行明確的定義描述，分析和描述風險發生可能性的高低、風險發生的條件。　　

3. 風險評價。風險評價是評估風險對企業實現目標的影響程度、風險的價值等。

風險評估是指，在風險事件發生之後，對於風險事件給人們的生活、生命、財產等各個方面造成的影響和損失進行量化評估的工作。即，風險評估就是量化測評某一事件或事物帶來的影響或損失的可能程度。

風險評估的主要任務包括：

識別組織面臨的各種風險；

評估風險機率和可能帶來的負面影響；

確定組織承受風險的能力；

確定風險消減和控制的優先等級；

推薦風險消減對策。

在風險評估過程中，有幾個關鍵的問題需要考慮。

首先，要確定保護的物件（或者資產）是什麼？它的直接和間接價值如何？

其次，資產面臨哪些潛在威脅？導致威脅的問題所在？威脅發生的可能性有多大？

第三，資產中存在哪裡弱點可能會被威脅所利用？利用的容易程度又如何？

第四，一旦威脅事件發生，組織會遭受怎樣的損失或者面臨怎樣的負面影響？

最後，組織應該採取怎樣的安全措施才能將風險帶來的損失降低到最低程度？

解決以上問題的過程，就是風險評估的過程。

進行風險評估時，有幾個對應關係必須考慮：

1.每項資產可能面臨多種威脅；

2.威脅源（威脅代理）可能不止一個；

3.每種威脅可能利用一個或多個弱點。