確定風險評估的目標 根據滿足組織業務持續發展在安全方面的需要、 法律法規的規定等內容,識別現有信息系統及管理上的不足,以及可能造成的風險大小。 確定風險評估的范圍 風險評估范圍可能是組織全部的信息及與信息處理相關的各類資產、管理機構,也可能是某個獨立的信息系統、關鍵業務流程、與客戶知識產權相關的系統或部門等。