为了明确被保护的信息资产，组织应列出与信息安全有关的资产清单，对每一项资产进行确认和适当的评估。为了防止资产被忽视或遗忘，在识别资产之前应确定风险评估范围。所有在评估范围之内的资产都应该被识别，就是列出对组织或组织的特定部门的业务过程有价值的任何事物，即根据组织的业务流程来识别信息资产。