风险评估是进行安全管理而必须做的最基本的一步，它为信息安全管理体系安全控制目标和控制措施的选择提供依据，也是对安全控制的效果进行测量评价的主要方法。

PDCA过程中，策划阶段的主要任务就是进行风险评估，识别组织所面临的风险及其大小，为信息安全信息安全风险管理提供依据。

对于处在信息安全管理运行阶段的组织来说，要检查自己的信息系统的安全状况，找出其中的不足并提出相应的改进措施时，例如管理评审，需要进行安全评估。