资产是对组织具有价值的信息或资源，是安全策略保护的对象。在风险评估工作中，风险的重要因素都以资产为中心，威胁、脆弱性以及风险都是针对资产而客观存在的。威胁利用资产自身脆弱性，使得安全事件的发生成为可能，从而形成了安全风险。这些安全事件一旦发生，对具体资产甚至是整个信息系统都将造成一定影响，从商对组织的利益造成影响。因此，资产是风险评估的重要对象。
不同价值的资产受到同等程度破坏时对组织造成的影响程度不同。资产价值是资产重要程度或敏感程度的表征。识另G资产并评估资产价值是风险评估的一项重要内容。
1.资产分类
在一个组织中，资产的存在形式多种多样，不同类别资产具有的资产价值、面临的威胁、拥有的脆弱性、可采取的安全措施都不同。对资产进行分类既有助于提高资产识别的效率，又有利于整体的风险评估。
在风险评估实施中，可按照《信息安全技术信息安全风险评估规范》(GB/T 20984-2007) 中资产分类方法，担资产分为硬件、软件、数据、服务、人员以及其他6 大类。具体资产分类请参考《信息安全技术信息安全风险评估规范》(GB/T 20984-2007) 。
2. 资产调查
资产调查是识别组织和信息系统中资产的重要途径。资产调查一方面应识别出有哪些资产，另一方面要识别出每项资产自身的关键属性。
业务是组织存在的必要前提，信息系统承载业务。信息系统的正常运行，保证业务的正常开展，关乎组织的利益。通过资产调查，应确定评估对象中包含哪些信息系统，每个信息系统处理哪些种类业务，每种业务包括哪些具体业务功能，以及相关业务处理的流程。分析并清楚理解各种业务功能和流程，有利于分析系统中的数据流向及其安全保证要求。
在信息系统中，业务处理表现为数据处理和服务提供，数据和服务都是组织的信息资产。在识别各种业务后，应进行数据处理和服务的识别，确定各种数据和服务对组织的重要性，以及数据和服务的保密性、完整性、可用性、抗抵赖性等安全属性，从而确定哪些是关键资产。
信息系统依赖于数据和服务等信息资产，而信息资产又依藏于支撑和保障信息系统运行的使件和软件资源，即系统平台，包括物理环境、网络、主机和应用系统等，其基础设施如服务器、交换机、防火墙等称之为系统单元:在系统单元上运行的操作系统、数据库、应用软件等称之为系统组件。在数据和服务等信息资产识别的基础上，根据业务处理流程，可识别出支撑业务系统运行所需的系统平台，并且识别出这些软硬件资源在重要胜、保密性、完整性、可用性、抗抵赖性等安全属性。
为保证风险评估工作的进度要求和贡量要求，有时不可能对所有资产做全面分析，应选取其中关键资产进行分析。根据评估目标和活围，确定风险评估对象中包含的信息系统。
(1)识别信息系统处理的业务功能，以及处理业务所需的业务流程，特别应识别出关键业务功能和关键业务流程。
(2) 根据业务特点和业务流程识别业务需要处理的数据和提供的服务，特别应识别出关键数据和关键服务。
(3)识别处理数据和提供服务所需的系统单元和系统组件，特别应识别出关键系统单元和关键系统组件。
系统单元、系统组件均可作为安全技术脆弱性测试的测试对象。所有资产均可作为安全管理脆弱性跚试的测试对象。
资产调查的方法包括阅读文档、访谈相关人员、查看相关资产等。一般情况下，可通过查阅信息系统需求说明书、可行性研究报告、设计方案、实施方案、安装手册、用户使用手册、测试报告、运行报告、安全策略文件、安全管理制度文件、操作流程文件、制度落实的记录文件、资产清单、网络拓扑图等，识别组织和信息系统的资产。
如文档记录信息之间存在互相矛盾，或存在不清楚的地方，以及文档记录信息与实际情况有出入，资产识别须就关键资产和关键问题与被评估组织相关人员进行核实，并选择在组织和信息系统管理中担任不同角色的人员进行访谈，包括主管领导、业务人员、开发人员、实施人员、运维人员、监督管理人员等等。通常情况下，经过阅读文档和现场访谈相关人员，基本可清晰识别组织和信息系统资产，对关键资产应进行现场实际
查看。
3. 资产赋值
在资产调查基础上，需分析资产的保密性、完整性和可用性等安全属性的等级，安全属性等级包括：很高、高、中等、低、很低五种级别，某种安全属性级别越高表示资产该安全属性越重要。保密性、完整性、可用性的五个赋值的含义可参考《信息安全技术信息安全风险评估规范》 (GB/T 20984-2007) 。
因资产保密性、完整性和可用性等安全属性的量化过程易带有主观性，可以参考如下因素，利用加权等方法综合得出资产保密性、完整性和可用性等安全属性的赋值等级:
(1)资产所承载信息系统的重要性:
(2) 资产所承载信息系统的安全等级:
(3)资产对所承载信息安全正常运行的重要程度;
(4) 资产保密'性、完整性、可用性等安全属性对信息系统，以及相关业务的重要程度。
资产价值应依据资产保密性、完整性和可用性的赋值等级，经综合评定确定。资产价值等级包括:很高、高、中等、低、很低五种等级，每种等级含义可以参考《信息安全技术信息安全风险评估规范》(GB/T 20984-2007) 。
综合评定的方法可报据信息系统所承载的业务对不同安全属性的依赖程度，选择资产保密性、完整性和可用性最为重要的一个属性的赋值等级作为资产的最终赋值结果:也可以根据资产保密性、完整性和可用性的不同等级对其服值进行加权计算得到资产的最终赋值结果，加权方法可根据组织的业务特点确定。评估小组可根据资产赋值结果，确定关键资产范围，并围绕关键资产进行后续的风险评估工作。
4. 资产赋值报告
经过资产识别和资产分析，确定了组织和信息系统中的资产，明确了资产价值以及相应的保密性、完整性、可用性等安全属性情况，了解资产之间的相互关系和影响，识别出重要资产，在此基础上，可形成资产列表和资产娥值报告。资产赋值报告是进行威胁识别和脆弱性识别的重要依据。
资产赋值报告中，应包括如下内容:
(1)各项资产，特别是关键资产的资产名称、类别、保密性服值、完整性服值、可用性赋值、资产价值以及资产所承载的信息系统:
(2)通过资产保密性、完整性、可用性计算资产价值的方法:
(3)关键资产说明等。