参考答案：

（1）按照组织业务运作流程进行资产识别，并根据估价原则对资产进行估价；

（2）根据资产所处的环境进行威胁评估；

（3）对应每一威胁，对资产或组织存在的脆弱性进行评估；

（4）对已采取的安全机制进行识别和确认；

（5）建立风险测量的方法及风险等级评价原则，确定风险的大小与等级