确定风险评估的目标 根据满足组织业务持续发展在安全方面的需要、 法律法规的规定等内容,识别现有信息系统及管理上的不足,以及可能造成的风险大小。 确定风险评估的范围 风险评估范围可能是组织全部的信息及与信息处理相关的各类资产、管理机构,也可能是某个独立的信息系统、关键业务流程、与客户知识产权相关的系统或部门等。