风险评估主要是从管理层面和技术层面，通过对风险的三个要素“资产”、“威胁”和“脆弱性”进行安全分析，客观的根据所有资产面临的风险状况提出安全需求，并通过针对性的选择和实施某些安全控制措施来满足安全需求，从而帮助企业达到降低风险的目的。 基于全面的风险评估，准确了解信息安全现状，明晰信息安全需求；基于风险评估结果，针对性制定信息系统安全策略和风险解决方案。