对组织需要保护的每一项关键信息资产进行威胁识别。在威胁识别过程中，应根据资产所处的环境条件和资产以前遭受威胁损害的情况来判断，一项资产可能面临着多个威胁，同样一个威胁可能对不同的资产造成影响。确定威胁发生的可能性是风险评估的重要环节，组织应根据经验和有关的统计数据来判断威胁发生的频率或者威胁发生的概率。威胁发生的可能性受下列因素的影响：

□ 资产的吸引力（适用有预谋的威胁）；

□ 资产转化成金钱的容易程度（适用有预谋的威胁）；

□ 威胁的技术含量（适用有预谋的威胁）；

□ 威胁发生的概率（适用偶然事件）；

□ 薄弱点被利用的难易程度(无论是技术薄弱点还是非技术薄弱点都适用)。