以下是进行风险评估的步骤:

1、确定保护的对象（或者资产），确认其直接价值和间接价值；

2、确定资产面临的潜在威胁，导致威胁的问题所在及威胁发生的可能性大小；

3、确定资产中存在的可能会被潜在威胁所利用的弱点及利用的程度；

4、确定一旦威胁事件发生，组织会遭受的损失或者面临的负面影响；

5、确定组织应该采取怎样的安全措施才能将风险带来的损失降低到最低程度。