風(fēng)險評估的步驟：風(fēng)險評估包括風(fēng)險辨識、風(fēng)險分析、風(fēng)險評價三個步驟。1.風(fēng)險辨識。風(fēng)險辨識是指查找企業(yè)各業(yè)務(wù)單元、各項重要經(jīng)營活動及其重要業(yè)務(wù)流程中有無風(fēng)險，有哪些風(fēng)險。2.風(fēng)險分析。風(fēng)險分析是對辨識出的風(fēng)險及其特征進行明確的定義描述，分析和描述風(fēng)險發(fā)生可能性的高低、風(fēng)險發(fā)生的條件。3. 風(fēng)險評價。風(fēng)險評價是評估風(fēng)險對企業(yè)實現(xiàn)目標(biāo)的影響程度、風(fēng)險的價值等。風(fēng)險評估是指，在風(fēng)險事件發(fā)生之后，對于風(fēng)險事件給人們的生活、生命、財產(chǎn)等各個方面造成的影響和損失進行量化評估的工作。即，風(fēng)險評估就是量化測評某一事件或事物帶來的影響或損失的可能程度。風(fēng)險評估的主要任務(wù)包括：識別組織面臨的各種風(fēng)險；評估風(fēng)險概率和可能帶來的負面影響；確定組織承受風(fēng)險的能力；確定風(fēng)險消減和控制的優(yōu)先等級；推薦風(fēng)險消減對策。在風(fēng)險評估過程中，有幾個關(guān)鍵的問題需要考慮。首先，要確定保護的對象（或者資產(chǎn)）是什么？它的直接和間接價值如何？其次，資產(chǎn)面臨哪些潛在威脅？導(dǎo)致威脅的問題所在？威脅發(fā)生的可能性有多大？第三，資產(chǎn)中存在哪里弱點可能會被威脅所利用？利用的容易程度又如何？第四，一旦威脅事件發(fā)生，組織會遭受怎樣的損失或者面臨怎樣的負面影響？最后，組織應(yīng)該采取怎樣的安全措施才能將風(fēng)險帶來的損失降低到最低程度？解決以上問題的過程，就是風(fēng)險評估的過程。進行風(fēng)險評估時，有幾個對應(yīng)關(guān)系必須考慮：1.每項資產(chǎn)可能面臨多種威脅；2.威脅源（威脅代理）可能不止一個；3.每種威脅可能利用一個或多個弱點。