风险评估是以围绕被评估组织核心业务开展为原则的，评估业务所面临的安全风险。风险分析的主要方法是对业务相关的资产、威胁、脆弱性及其各项属性的关联分析，综合进行风险分析和计算。
1.风险分析模型
依据《信息安全技术信息安全风险评估规范》 CGB/T 20984-2007) 所确定的风险分析方法，如图6-64 所示，一般构建风险分析模型是将资产、威胁、脆弱性三个基本要素及每个要素相关属性，进行关联，并建立各要素之间的相互作用机制关系。

建立风险评佑分析模型，首先通过威胁与脆弱性进行关联，哪些威胁可以利用哪些脆弱性，可引发安全事件，并分析安全事件发生的可能性:其次，通过资产与脆弱性进行关联，哪些资产存在脆弱性，一旦安全事件发生，造成的损失有多大。
信息安全风险各识别要素的关系， R=F (A , T, V) 。其中，其中， R 表示安全风险计算函数A 表示资产T 表示威胁V 表示脆弱性。
2. 风险计算方法
组织或信息系统安全风险需要通过具体的计算方法实现风险值的计算。风险计算方法一般分为定性计算方法和定量计算方法两大类。
①定性计算方法是将风险的各要素资产、威胁、脆弱性等的相关属性进行量化(或等级化)赋值，然后选用具体的计算方法(如相乘法或矩阵法)进行风险计算:
②定量计算方法是通过将资产价值和风险等量化为财务价值的方式来进行计算的一种方法。由于定量计算法需要等量化财务价值，在实际操作中往往难以实现。
由于定量计算方法在实际工作中可操作性较差，一般风险计算多采用定性计算方法。风险的定性计算方法实质反应的是组织或信息系统面临风险大小的准确排序，确定风险的性质(无关紧要、可接受、待观察、不可接受等) ，而不是风险计算值本身的准确性。
具体风险计算方法，可参考《信息安全技术信息安全风险评估规范》( GB/T 20984-2007) 中的附录A (资料性附录)风险的计算方法。
3. 风险分析与评价
通过风险计算，应•对风险情况进行综合分析与评价。风险分析是基于计算出的风险值确定风险等级。风险评价则是对组织或信息系统总体信息安全风险的评价。

风险分析，首先对风险计算值进行等级化处理。风险等级化处理目的是，对风险的识别直观化，便于对风险进行评价。等级化处理的方法是按照风险值的高低进行等级划分，风险值越高，风险等级越高。风险等级一般可划分为五级:银高、高、中等、低、很低，也可根据项目实际情况确定风险的等级数，如划分为高、中、低三级。
风险评价方法是根据组织或信息系统面临的各种风险等级，通过对不同等级的安全风险进统计、分析，并依据各等级风险所占全部风险的百分比，确定总体风险状况。
具体风险评价参见表6-13 0
4. 风险评估报告
风险评估报告是风险分析阶段的输出文档，是对风险分析阶段工作的总结。风险评估报告中需要对建立的风险分析模型进行说明，并需要阐明采用的风险计算方法及风险价方法。
报告中应对计算分析出的风险给予详细说明，主要包括:风险对组织、业务及系统的影响范围、影响程度，依据的法规和证据:风险评价结论。
风险评估报告是风险评估工作的重要内容，是风险处置阶段的关键依据。同时，风险评估报告可作为组织从事其他信息安全管理工作的重要参考内容，如信息安全检查、信息系统等级保护测评、信息安全建设等。