风险评估是在一定范围内识别所存在信息安全风险，并确定其大小的过程。风险评估保证信息安全管理活动可以有的放矢，将有限的信息安全预算应用到最需要的地方，风险评估是风险管理的前提。