1. 对资产进行识别 ，并对资产的价值进行赋值 ; 2. 对威胁进行识别 ，描述威胁的属性 ，并对威胁出现的频率赋值 ; 3. 对脆弱性进行识别 ，并对具体资产的脆弱性的严重程度赋值; 4. 根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性 ; 5. 根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件造成的损失 ; 6. 根据安全事件发生的可能性以及安全事件出现后的损失 ，计算安全事件一旦发生对组织的影响， 即风险值。