風險評估是指從風險管理角度，依據國家有關信息安全技術標準和準則，運用科學的方法和手段，對信息系統及處理、傳輸和存儲信息的保密性、完整性及可用性等安全屬性進行全面科學地分析；對網絡與信息系統所面臨的威脅及存在的脆弱性進行系統的評價；對安全事件一旦發生可能造成的危害程度進行評估，并提出有針對性地抵御威脅的防護對策和整改措施。風險評估是風險管理工作的基礎，為組織提供更全面，更有效的風險信息。