(1) 資訊資產管理者須參考「資訊資產管理辦法」完成資產盤點並填寫「資訊資產清冊」，由資訊資產管理者依「資訊資產管理辦法」資產分類原則，鑑別7大資訊資產。

(1) 針對各項資訊資產分別鑑別其在使用或處理過程中，各項可能的威脅運用該資訊資產之脆弱性，對「機密性(C)」、「完整性(I)」、「可用性(A)」及「個資機敏(P)」造成之衝擊。

(2) 威脅與脆弱性依「定性」方式進行識別，可參閱「威脅弱點影響判定」，鑑別出不同程度的衝擊與損失。

各項資訊資產列表，依據ISO 27001資安管理之相關的控制目標及控制措施進行鑑別，亦可就其他如個人資料管理規範之相關控制措施進行鑑別。

(1) 為確保各項資訊資產均受到最妥適之處理，需再將資訊資產價值轉換為「資訊資產風險值」，計算該項資訊資產之資訊資產風險值方法如下：

資訊資產風險值＝資訊資產價值 × 威脅發生可能性 × 脆弱性利用難易度

依據風險接受準則，原則以中、低風險為「可接受風險等級」，依據組織業務特性及可運用資源決定是否調整當年度可接受風險值由「資安暨個資執行小組」召集人核定。

(1) 資訊資產風險值高於「可接受風險等級」項目列入「詳細風險評鑑彙整表」，應各單位內統整一份，並納入「風險處理計畫」之改善清單。

(2) 「風險處理計畫」可依據ISO 27001選擇適當之控管措施或設計新控制措施以達到確實管控風險，說明風險控管措施之執行辦法。

(3) 「風險處理計畫」中各項風險控管措施完成後，於下個週期檢核「資訊資產威脅及弱點評估表」應確認相關改善措施的有效性。

(1) 資訊資產管理者須負責將「資訊資產清冊」、「資訊資產威脅及弱點評估表」及「詳細風險評鑑彙整表」電子檔案妥善保存二年備查。

(2) 資訊資產管理者應將「資訊資產清冊」結果提交至單位主管複核。

(3) 資訊資產管理者應將超過「可接受風險等級」之「資訊資產威脅及弱點評估表」結果提交至單位主管複核。

(4) 「詳細風險評鑑彙整表」為各單位內統整一份提交至單位主管複核，並檢附此表中每一項「資訊資產威脅及弱點評估表」送交至「資安暨個資執行小組」備查。

「風險處理計畫」提交至「資安暨個資執行小組」，針對進行風險處理之資訊資產實施風險重新評鑑，並記錄於「殘餘風險評鑑工作表」，以確認風險處理計畫之執行達到風險減緩預期效益之目標。