ISO27001認證網(wǎng)絡信息安全風險評價，是執(zhí)行風險評價的前提條件，以便確保評定全過程的可操控性及其評定結果的普遍性，在網(wǎng)絡信息安全風險評價執(zhí)行前要開展充足的提前準備。

(1)明確評定目標明確風險評價的總體目標，為網(wǎng)絡信息安全風險評價的全過程出示導向性。網(wǎng)絡信息安全要求是一個機構為確保其業(yè)務流程一切正常、合理運行而務必做到的網(wǎng)絡信息安全規(guī)定，根據(jù)剖析機構務必合乎的有關相關法律法規(guī)、機構在工作流程中對網(wǎng)絡信息安全等的安全性、一致性、易用性等層面的要求，來明確網(wǎng)絡信息安全險評定的總體目標。

(2)明確評定范疇明確的ISO27001網(wǎng)絡信息安全風險評價將會只對于機構所有財產(chǎn)的一個非空子集，評定范疇務必確立。敘述范疇最重要的是針對評定界限的敘述。評定的范疇可能是單獨系統(tǒng)軟件或是是好幾個關系的系統(tǒng)軟件比較好的方式 是依照物理學界限和邏輯性界限來敘述一次風險評價的范疇。

(3)建立評定精英團隊創(chuàng)立專業(yè)的評定精英團隊承擔實際實行機構的網(wǎng)絡信息安全風險評價。精英團隊組員應包含評定企業(yè)領導干部、評定權威專家、技術專家，還應當包含高管、各個部門、人力資源管理、IT系統(tǒng)和來源于客戶的意味著。

(4)開展系統(tǒng)軟件調查系統(tǒng)軟件調查是明確被評定目標的全過程。開展充足的系統(tǒng)軟件調查是為網(wǎng)絡信息安全風險評價根據(jù)和方式 的挑選、評定內容的執(zhí)行打下基礎。調研內容最少應包含業(yè)務流程發(fā)展戰(zhàn)略及管理方案、關鍵的業(yè)務流程作用和規(guī)定；網(wǎng)絡架構與網(wǎng)絡空間，包含內部聯(lián)接和外界聯(lián)接、系統(tǒng)軟件界限；關鍵的硬件配置、手機軟件：數(shù)據(jù)信息和信息內容、統(tǒng)和數(shù)據(jù)信息的敏感度；適用和應用系統(tǒng)軟件的工作人員。

(5)明確評定根據(jù)和方式 評定根據(jù)包含目前國際性或相關法律法規(guī)網(wǎng)絡信息安全規(guī)范、機構的制造行業(yè)主管部門的業(yè)務管理系統(tǒng)的規(guī)定和規(guī)章制度、機構的信息管理系統(tǒng)互連企業(yè)的安全性規(guī)定、機構的信息管理系統(tǒng)自身的實用性或特性規(guī)定等。依據(jù)網(wǎng)絡信息安全評定風險性根據(jù)，綜合性考慮到網(wǎng)絡信息安全評定的目地、范疇、時間、實際效果、評定員工素質等要素，挑選實際的風險性計算方式，并根據(jù)機構業(yè)務流程執(zhí)行對系統(tǒng)優(yōu)化運作的要求，明確有關的評定剡斷根據(jù)，使之可以與機構環(huán)境和安全性規(guī)定相一致。

(6)制訂評定計劃方案評定計劃方案的內容一般包含精英團隊機構（評定精英團隊組員、組織架構、人物角色、義務等）、工作規(guī)劃（各環(huán)節(jié)的工作職責、工作中方式、工作成效等）、及其項目實施的時間進度分配等。

(7)得到最大管理人員的適用由于評定必須資金和人力資源的適用，高管務必說明對評定主題活動的適用，對資源配制作出服務承諾，并對網(wǎng)絡信息安全風險評價工作組授予充足的支配權，網(wǎng)絡信息安全風險評價主題活動才可以順利開展。

在搞好風險評價的準備工作以后，還必須對公司的當今的網(wǎng)絡信息安全系統(tǒng)軟件開展財產(chǎn)鑒別、威協(xié)鑒別和易損性鑒別。值得一提的是，公司假如要確保評定全過程如期完成而且風險評價結果真實可信，最重要的一點是要最先對于公司的網(wǎng)絡信息安全管理方面制訂一個風險評價對策。好的風險評價對策是風險評價實體模型是不是設計方案取得成功的重要，另外，一個好的風險評價對策必須包含公司網(wǎng)絡信息安全風險性造成的誘因及其開展風險評價實際操作的范疇和目地。