按照组织业务运作流程进行资产识别，并根据估价原则对资产进行估价；

□ 根据资产所处的环境进行威胁识别与评价；

□ 对应每一威胁，对资产或组织存在的薄弱点进行识别与评价；

□ 对已采取的安全控制进行确认；

□ 建立风险测量的方法及风险等级评价原则，确定风险的大小与等级。