风险评估的基础是首先要对以下几项内容进行估计：风险事件发生的可能性大小；可能的结果范围和危害程度；预期发生的时间；一个风险因素所产生的风险事件的发生频率。常用的方法工具包括：风险可能和危害分析等级矩阵、项目假定测试(project assumpti testing)、数据精度分级(data precision ranking)。
(1)风险可能和危害分析等级矩阵。风险
项目综合分析及风险评定报告
风险评估的基础是首先要对以下几项内容进行估计：风险事件发生的可能性大小；可能的结果范围和危害程度；预期发生的时间；一个风险因素所产生的风险事件的发生频率。常用的方法工具包括：风险可能和危害分析等级矩阵、项目假定测试(project assumpti testing)、数据精度分级(data precision ranking)。
(1)风险可能和危害分析等级矩阵。风险的大小是由两个方面决定的，一是风险发生的可能性，另一个是风险发生后对项目目标所造成的危害程度，对这两方面，可以用一些定性的描述词分别进行描述，如“非常高的”、“高的”、“适度的”、“低的”和“非常低的”等。
(2)项目假定测试。风险评估中的项目假定测试是一种模拟技术，它是分别对一系列的假定及其推论进行测试，进而发现风险的一些定性信息。
(3)数据精度分级。风险估计需要准确的、不带偏见的有益于管理的数据，数据精度分级就是应用于这方面的一种技术，它可以估计有关风险的数据对风险管理有用的程度。它包括如下的方面：风险的了解范围；有关风险的数据；数据的质量；数据的可信度和真实度等。
2、考察运营管理组织和职能部门沟通关系
很多企业里因为运营管理专才的缺乏，为了支持体系的运作，往往采用兼职的方式，从各职能部门中抽取人员负责相关工作，因此他们在推行体系时往往会面对角色的迷失——既要推动日常业务工作，又要推动项目运营管理，而且两者之间的约束往往是相悖的。比如，作为运营管理专员，往往要求各部门协调时间、统一步伐推动某项重要工作，而他的本职工作往往又会因为资源的限制，导致无法满足运营的要求，运营管理专员往往成为"夹心饼干"，工作自然难以推进。
由于行为者具有自利的动机，总是试图在经济活动中以较少的投入获得较高的收益，使经济活动经济、。成本收益分析的前提效用合理化就蕴含着经济、的要求。
行为者要使自己的经济活动达到自利的目的，达到经济、，必须对自己的投入与产出进行计算，因此，成本收益分析蕴含着一种量入为出的计算理性，没有这种精打细算的计算，经济活动要想获得好的效果是不可能的。因此，成本收益的计算特性是达到经济性的必要手段，也是保证行为者行为自利目的的基本工具。
内容一、资产识别与赋值：对评估范围内的所有资产进行识别，并调查资产破坏后可能造成的损失大小，根据危害和损的大小为资产进行相对赋值；资产包括硬件、软件、服务、信息和人员等。
内容二、威胁识别与赋值：即分析资产所面临的每种威胁发生的频率，威胁包括环境因素和人为因素。
内容三、脆弱性识别与赋值：从管理和技术两个方面发现和识别脆弱性，根据被威胁利用时对资产造成的损害进行赋值。
内容四、风险值计算：通过分析上述测试数据，进行风险值计算，识别和确认高风险，并针对存在的安全风险提出整改建议。
内容五、被评估单位可根据风险评估结果防范和化解信息安全风险，或者将风险控制在可接受的水平，为大限度地保障网络和信息安全提供科学依据。
（作者： 来源：）
