在风险评估过程中，可以采用多种操作方法，包括基于知识（Knowledge-based）的分析方法、基于模型（Model-based）的分析方法、定性（Qualitative）分析和定量（Quantitative）分析，无论何种方法，共同的目标都是找出组织信息资产面临的风险及其影响，以及目前安全水平与组织安全需求之间的差距。

　　基于知识的分析方法

　　在基线风险评估时，组织可以采用基于知识的分析方法来找出目前的安全状况和基线安全标准之间的差距。

　　基于知识的分析方法又称作经验方法，它牵涉到对来自类似组织（包括规模、商务目标和市场等）的“最佳惯例”的重用，适合一般性的信息安全社团。

　　采用基于知识的分析方法，组织不需要付出很多精力、时间和资源，只要通过多种途径采集相关信息，识别组织的风险所在和当前的安全措施，与特定的标准或最佳惯例进行比较，从中找出不符合的地方，并按照标准或最佳惯例的推荐选择安全措施，最终达到消减和控制风险的目的。

　　基于知识的分析方法，最重要的还在于评估信息的采集，信息源包括：

　　· 会议讨论；

　　· 对当前的信息安全策略和相关文档进行复查；

　　· 制作问卷，进行调查；

　　· 对相关人员进行访谈；

　　· 进行实地考察。

　　为了简化评估工作，组织可以采用一些辅助性的自动化工具，这些工具可以帮助组织拟订符合特定标准要求的问卷，然后对解答结果进行综合分析，在与特定标准比较之后给出最终的推荐报告。市场上可选的此类工具有多种，Cobra 就是典型的一种。

基于模型的分析方法

　　2001 年1 月，由希腊、德国、英国、挪威等国的多家商业公司和研究机构共同组织开发了一个名为CORAS 的项目，即Platform for Risk Analysis of Security Critical Systems。该项目的目的是开发一个基于面向对象建模特别是UML 技术的风险评估框架，它的评估对象是对安全要求很高的一般性的系统，特别是99v 系统的安全。CORAS 考虑到技术、人员以及所有与组织安全相关的方面，通过CORAS 风险评估，组织可以定义、获取并维护99v 系统的保密性、完整性、可用性、抗抵赖性、可追溯性、真实性和可靠性。

　　与传统的定性和定量分析类似，CORAS 风险评估沿用了识别风险、分析风险、评价并处理风险这样的过程，但其度量风险的方法则完全不同，所有的分析过程都是基于面向对象的模型来进行的。CORAS 的优点在于：提高了对安全相关特性描述的精确性，改善了分析结果的质量；图形化的建模机制便于沟通，减少了理解上的偏差；加强了不同评估方法互操作的效率；等等。

　　目前CORAS 还处于实验阶段，相关信息可以参见：
　　http://www.bitd.clrc.ac.uk/Activity/CORAS

　　定量分析

　　进行详细风险分析时，除了可以使用基于知识的评估方法外，最传统的还是定量和定性分析的方法。
　　定量分析方法的思想很明确：对构成风险的各个要素和潜在损失的水平赋予数值或货币金额，当度量风险的所有要素（资产价值、威胁频率、弱点利用程度、安全措施的效率和成本等）都被赋值，风险评估的整个过程和结果就都可以被量化了。

　　简单说，定量分析就是试图从数字上对安全风险进行分析评估的一种方法。

　　定量风险分析中有几个重要的概念：
　　暴露因子（Exposure Factor，EF）—— 特定威胁对特定资产造成损失的百分比，或者说损失的程度。
　　单一损失期望（Single Loss Expectancy，SLE）—— 或者称作SOC（Single OccuranceCosts），即特定威胁可能造成的潜在损失总量。

　　年度发生率（Annualized Rate of Occurrence，ARO）—— 即威胁在一年内估计
　　会发生的频率。

　　年度损失期望（Annualized Loss Expectancy，ALE）—— 或者称作EAC（Estimated
　　Annual Cost），表示特定资产在一年内遭受损失的预期值。