风险评估机构
详细评估的优点在于:
1、***可以通过详细的风险评估而对信息安全风险有一个的认识，并且准确定义出***的安全水平和安全需求;
2、详细评估的结果可用来管理安全变化。当然，详细的风险评估可能是非常耗费资源的过程，包括时间、精力和技术，因此，***应该仔细设定待评估的信息系统范围，明确商务环境、操作和信息资产的边界。
基线风险评估耗费资源少、周期短、操作简单，但不够准确，适合一般环境的评估;详细风险评估准确而细致，但耗费资源较多，适合严格限定边界的较小范围内的评估。基于在实践当中，***多是采用二者结合的组合评估方式。
风险被划分为三个等级：
1、不可接受区域，这里除特殊情况之外，风险都是无法容忍的，必须采取降低风险的措施。
2、中间区域，也就是ALARP区域，在这里采取进一步降低风险的措施，但是如果成本和收益比例失衡的话，可以不采取行动。
3、广泛可接受区域，在这里不需要采取进一步降低风险的措施，当风险处于这个水平的时候，进一步降低风险从经济上考虑是不划算的，与其在这里花费大量资金，不如考虑降低别处的风险。
项目风险评估
合同条款方面的风险评估，确保合同履行过程都有依据，并排除不合理条款带来的额外责任和成本，优化收入确认，验收确认，付款的条款。并在违约责任，罚款责任设置好上限，在终止条件，***处理，适用***等方面做好安排。客户维度关注客户持续经营/偿债能力/盈利能力/诚信守法/合作诚意/合作价值。业务环境考虑行业景气，产业波动等产业层面，和整个市场环境，需求变动，资本成本，汇率，***干预，******的影响等。
