风险分析主要的任务时对需要保护的资产及其受到的潜在威胁进行鉴别。首要的一步是对资产进行确定，包括物理资源(工作站、服务器及各种设备等)、知识资源(数据库、财务信息等)以及时间和信誉资源。第二步需要分析潜在的攻击源，如内部的员工，外部的敌对者等;第三步要针对以上分析指定折中的安全策略，因为安全措施与系统性能往往成反比。风险被定义为漏洞威胁，漏洞指攻击者能够实现攻击的途径。威胁则指实现攻击的具体行为，对于风险来说，二者缺—不可。
安全策略可以分为许多类型，比如:
信息策略:如识别敏感信息、信息分类、敏感信息标记/存储/传输/销毁;
系统和网络安全策略:用户身份识别与身份鉴别、访问控制、审计、网络连接、加密等;
计算机用户策略:计算机所有权、信息所有权、计算机许可使用权等;
Internet使用策略:邮件策略(内部邮件与外部邮件的区分及过滤);
用户管理程序:新员工程序、工作调动的员工程序、离职员工程序;
系统管理程序:软件更新、漏洞扫描、策略检查、登录检查、常规监控等;
事故相应程序:响应、授权、文档、程序的测试;
配置管理程序:系统初始状态、变更的控制程序
