联合评估方法首先使用基本的风险评估方法，识别信息安全管理体系范围内高风险的资产或业务运作过程中的关键资产，然后根据基本的风险评估结果，将信息安全管理体系范围内的资产分成两类，一类需要再经过详细的风险评估过程，准确确定其风险等级，才可以采取适当的控制，达到应有的保护程度；另一类只需要根据基本的评估结果就可以确定其风险大小，进而选择控制。