如何对一个企业进行风险评估?

企业的风险评估一般分为哪些步骤

风险评估包括风险辨识、风险分析、风险评价三个步骤。

风险辨识是指查找企业各业务单元、各项重要经营活动及其重要业务流程中有无风险，有哪些风险。

风险分析是对辨识出的风险及其特征进行明确的定义描述，分析和描述风险发生可能性的高低、风险发生的条件。

风险评价是评估风险对企业实现目标的影响程度、风险的价值等。

风险评估是指在风险事件发生之前或之后（但还没有结束），该事件给人们的生活、生命、财产等各个方面造成的影响和损失的可能性进行量化评估的工作。即，风险评估就是量化测评某一事件或事物带来的影响或损失的可能程度。
风险评估（RiskAssessment）是指，在风险事件发生之前或之后（但还没有结束），该事件给人们的生活、生命、财产等各个方面造成的影响和损失的可能性进行量化评估的工作。即，风险评估就是量化测评某一事件或事物带来的影响或损失的可能程度。
从信息安全的角度来讲，风险评估是对信息资产（即某事件或事物所具有的信息集）所面临的威胁、存在的弱点、造成的影响，以及三者综合作用所带来风险的可能性的评估。作为风险管理的基础，风险评估是组织确定信息安全需求的一个重要途径，属于组织信息安全管理体系策划的过程。

在风险评估过程中，有几个关键的问题需要考虑。
首先，要确定保护的对象（或者资产）是什么？它的直接和间接价值如何？
其次，资产面临哪些潜在威胁？导致威胁的问题所在？威胁发生的可能性有多大？
第三，资产中存在哪些弱点可能会被威胁所利用？利用的容易程度又如何？
第四，一旦威胁事件发生，组织会遭受怎样的损失或者面临怎样的负面影响？
最后，组织应该采取怎样的安全措施才能将风险带来的损失降低到最低程度？
解决以上问题的过程，就是风险评估的过程。
进行风险评估时，有几个对应关系必须考虑：
每项资产可能面临多种威胁
威胁源（威胁代理）可能不止一个
每种威胁可能利用一个或多个弱点
投资
项目投资风险评估报告是分析确定风险的过程，在国际投资领域中，为减少投资人的投资失误和风险，每一次投资活动都必须建立一套科学的，适应自己的投资活动特征的理论和方法。项目投资风险评估报告是利用丰富的资料和数据，定性和定量相结合，对投资项目的风险进行全面的分析评价，采取相应的措施去减少、化解、规避风险的途径。
项目投资风险评估报告是在全面系统分析目标企业和项目的基础上，按照国际通行的投资风险评估方法，站在第三方角度客观公正地对企业、项目的投资风险进行分析。投资风险评估报告包含了投资决策所关心的全部内容，如企业详细介绍、项目详细介绍、产品和服务模式、市场分析、融资需求、运作计划、竞争分析、财务分析等内容，并在此基础上，以第三方角度，客观公正地对投资风险进行评估。[1]
任务
风险评估的主要任务包括：
识别评估对象面临的各种风险
评估风险概率和可能带来的负面影响
确定组织承受风险的能力
确定风险消减和控制的优先等级
推荐风险消减对策
可行途径
在风险管理的前期准备阶段，组织已经根据安全目标确定了自己的安全战略，其中就包括对风险评估战略的考虑。所谓风险评估战略，其实就是进行风险评估的途径，也就是规定风险评估应该延续的操作过程和方式。
风险评估的操作范围可以是整个组织，也可以是组织中的某一部门，或者独立的信息系统、特定系统组件和服务。影响风险评估进展的某些因素，包括评估时间、力度、展开幅度和深度，都应与组织的环境和安全要求相符合。组织应该针对不同的情况来选择恰当的风险评估途径。实际工作中经常使用的风险评估途径包括基线评估、详细评估和组合评估三种。

企业风险评估的步骤

(1)认真分析企业管理现状；
(2)明确企业战略目标；
(3)了解、掌握行业情况和企业竞争态势、发展状况；
(4)企业高管层对风险的分析和判断；
(5)向不同部门和不同管理层次的员工了解和收集对企业风险的认识和态度；
(6)设定风险调查评估的主要项目和风险点；
(7)调查和评估；
(8)收集和整理资料；
(9)评估分析结果。

企业安全风险评估怎么实施？

企业安全风险评估的一般工作流程可以分为如下几个步骤： 对信息系统特征进行描述，也就是分析信息系统本身的特征以及确定信息系统在组织中的业务战略。对信息系统本身的特征，包括软件、硬件、系统接口、数据和信息、人员和系统的使命，都要有清楚地描述。这个步骤需要产生一系列的文档，包括系统边界、系统功能的描述、系统和数据的关键性描述、系统和数据的敏感性描述（数据和系统本身的重要程度，在整个组织里占据什么地位）。 识别评估系统所面临的威胁。分析内容包括系统被攻击的历史和来自信息咨询机构和大众信息的数据。比如，网上银行系统，根据一些信息咨询机构和媒体、网络银行范围和手段，以这些信息作为基础，对系统所面临的威胁进

风险评估的常用方法

风险评估（Risk Assessment） 是指，在风险事件发生之前或之后（但还没有结束），该事件给人们的生活、生命、财产等各个方面造成的影响和损失的可能性进行量化评估的工作。即，风险评估就是量化测评某一事件或事物带来的影响或损失的可能程度。 常用方法： 1、风险因素分析法 风险因素分析法是指对可能导致风险发生的因素进行评价分析，从而确定风险发生概率大小的风险评估方法。其一般思路是：调查风险源→识别风险转化条件→确定转化条件是否具备→估计风险发生的后果→风险评价。 2、模糊综合评价法 3、内部控制评价法 内部控制评价法是指通过对被审计单位内部控制结构的评价而确定审计风险的一种方法。由于内部控制

企业安全风险评估怎么做

目前，国内外的企业信息安全风险评估大致分为两种模式：自评估和他评估。一般只有企业在发生较大变化时，主要业务系统发生重大改变时，才会进行他评估。而大多数情况下，企业只进行自评估，所以，自评估已成为企业信息安全风险评估的基本模式。

他评估，就像我们去医院体检。我们为了详细地了解自己的身体健康状况而需要医院做全面的分析和检查。企业在进行他评估的时候，也是为了全面了解其面临的信息安全风险而委托具有风险评估能力的专业评估机构或上级主管部门，对自己的安全策略、安全制度进行的风险评估活动。自评估，对于企业来讲，要用最小的资源消耗来了解企业当前的安全状态、安全流程以及安全控制措施的有效性。

自评估的“优”与“劣”如果你给自己看病，会有很多的不方便。自评估也是一样的道理。由于资源、评估人员的水平有限，存在许多的问题: 不深入、不规范、不到位；缺乏工具；主观因素太多；权威性小。当然了，也有比较好的方面：对外界的依赖少；费用低廉；周期较短；额外的风险小；能提高企业对自身的安全认识。

其实，选择他评估还是自评估都取决于效率和成本等因素。小企业可以通过自评估为主，以周期性他评估为辅的方式进行，但是大企业就需要以内部主导的厂商他评估，来进行企业信息安全风险评估，这是一种混合式的自评估。

企业信息安全风险的自评估贯穿企业发展的每个阶段。自评估涉及的评估要素也很多：风险本身、企业资产、企业的脆弱点、威胁源、控制措施和企业的安全需求等。

(企业信息安全风险评估要素关系图)

企业与威胁源的对立关系，就像人体和病原体之间的关系，二者相互对立。企业拥有资产，资产存在的脆弱点只有通过控制措施减少，才能避免风险的增加。企业需要相应的控制措施来满足安全需求，既而抵抗威胁源。

企业自评估的原则:

标准化指导原则；（按照国家或国际相关标准的指导下进行整个评估工作。）

评估人员的多样化；（从企业的各个角度全方位考虑）

管理与技术评估相结合；（三分技术，七分管理）

重点评估与全面评估兼顾；（对重要资源进行评估的同时，还要在条件允许的情况下尽可能多的去评估。）

企业效率与评估效率综合考虑；（评估过程是否会影响企业生产效率）

与他评估相辅相成。（自评估的结果应该以规范的化的形式保留，以供他评估参考。）

企业自评估的流程设计:企业的自评估活动是一个动态的过程，随着企业的发展，需要不断的进行自评估，以此来满足企业的安全需求。

(企业自评估的实施流程)

风险评估，作为企业信息安全管理的第一步，它的评估结果直接影响着整个安全管理的质量。由于评估的各个要素又是处于不断变化之中，所以及时了解企业的安全状态是十分必要的，而定期评估是达到安全目的的必不可少的手段。