一个安全评估的过程，可以简单地分为 4 个阶段:资产等级划分、威胁分析、风险分析、确认解决方案。
一般来说，按照这个过程来实施安全评估，在结果上不会出现较大的问题。这个实施的过程是层层递进的，前后之间有因果关系。
如果面对的是一个尚未评估的系统，那么应该从第一个阶段开始实施:如果是由专职的安全团队长期维护的系统，那么有些阶段可以只实施一次。在这几个阶段中，上一个阶段将决定下一个阶段的目标，需要实施到什么程度。
资产等级划分
资产等级划分是所有工作的基础，这项工作能够帮助我们明确目标是什么，要保护什么。
我们前面提到安全三要素时，机密性和完整性都是与数据相关的，在可用性的定义里，笔者则用到了“资源”一词。“资源”这个概念描述的范围比数据要更加广阔，但很多时候，资源的可用性也可以理解为数据的可用性。
在互联网的基础设施已经比较完善的今天，互联网的核心其实是由用户数据驱动的一一用户产生业务，业务产生数据。互联网公司除了拥有一些固定资产，如服务器等死物外，最核心的价值就是其拥有的用户数据，所以一
互联网安全的核心问题，是数据安全的问题
这与我们做资产评估又有什么关系呢?有，因为对互联网公司拥有的资产进行等级划分就是对数据做等级划分。有的公司最关心的是客户数据，有的公司最关心的是员工资料信息，根据各自业务的不同，侧重点也不同。做资产等级划分的过程，需要与各个业务部门的负责人一一沟通，了解公司最重要的资产是什么，他们最看重的数据