任何事情都存在风险，信息系统亦然如此。如果不了解自身信息系统状况，倘若其存在安全风险不加以控制或解决，企业的网络安全就无法得到保证，系统内存储的各种信息也得不到基本保障。
简单来说，信息系统风险评估是用来了解信息系统目前的网络安全防御能力，以及判断是否存在安全隐患，并提前采取办法防范。风险评估对于企业规避网络安全风险有很大的帮助，其中包含了多种安全检测手段。
那么，信息系统到底在什么阶段适合做风险评估?
答案是：信息系统在其生命周期的各阶段都需要进行风险评估。一个系统从设计到开发，再到正式投入使用，都应该将网络安全问题考虑在内。危险是不可预测的，但可以提前预防，然而预防的最佳方式则是进行全面检查，查漏补缺。
开展风险评估工作是为了更好地查找并发现信息系统或IT资产中存在的安全风险并进行修复，消除安全隐患，避免安全事件的发生。
- 风险评估不仅关乎信息系统，还应针对企业人员、企业网络安全管理相关制度以及设备设施等;
- 风险评估不应为了评估而评估。网络安全是一项长久的工作，不应该为了应付安全检查或被迫整改而做，保持时刻有网络安全建设的意识，开展风险评估工作是为了不断提高企业的网络安全水平和网络安全程度。
既然每个阶段都需要进行风险评估，如何解决预算缺失的问题?
信息系统生命周期每阶段的评估频率分为日、周、月、季度和年，没有人能确定风险评估进行的频率和次数为多少算好，当然高频率相较低频率会更好一些，因为安全风险总是出其不意。对于预算不足的企业，建议在系统上线前、每季度或每半年对IT资产进行风险评估，及时检查安全隐患;而对于大型企业/单位，存有重要信息及数据的，应注重评估频率，加强安全防御水平。
网络安全建设工作可大可小，企业应根据自身需求和预算来投入，风险评估不能盲目随从，看到别的企业加大力度投入也跟风前行，合适自己的网络安全建设方案才是最好的。
