风险评估（Risk Assessment）存在于很多行业，但在IT业，独指
信息安全风险评估，指依据有关信息技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性（CIA）等安全属性进行科学、公正的综合评估的过程。它要评估信息系统的
脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。
渗透测试（Penetration Testing）则是从一个攻击者的角度来检查和审核一个网络系统的安全性的过程。这本来是风险评估的一部分（存在于执行阶段），不应该与风险评估相提并论。但风险评估是一个过于庞大和复杂的体系，在如此短的篇幅里不能够完全详述，所以把渗透测试这一个富有争议性、纯
技术的并且也是可以从风险评估中分离出来的内容单独分离了出来。
从风险评估的定义中可以看出，这是写一个大部头著作的好题材。首先，从各种标准看，管理标准有BS7799 （ISO/IEC 17799）
信息安全管理体系标准、ISO/IEC 13335信息安全管理标准、ISO 7498 、OCTAVE标准等；技术与工程标准有
SSE-CMM安全系统工程
能力成熟度模型、ISO/IEC 15408（GB/T18336）信息产品通用测评准则；此外还有众多的事实标准。其实施过程又可分为：项目定义阶段、构建蓝图阶段、具体执行阶段、评估报告生成阶段和藕断丝连的售后服务阶段。
在风险评估的实施过程中，有一步最为
关键，那就是执行阶段。前期所做的准备都是为该阶段服务，后期的报告生成和售后服务也依赖于执行阶段所得到的大量信息。在这个关键阶段中，有一个重点—渗透测试。渗透测试不单单是风险评估的一部分，也是企业网络防御体系当中的重要组成部分。一次成功的渗透测试可以发现企业网络中最薄弱的部分，使在网络安全方面的有限投入可以得到最大的回报。渗透测试可以从系统外部模拟真实的入侵者，从与系统管理人员相反的角度考虑系统的安全性，渗透测试报告可以作为风险评估中重要的原始数据，也可以作为向投资方或管理人员提供的网络安全状况方面的具体
证据。