1、首先明确需要评估的系统、资产或信息。

2、其次列出对目标造成威胁的各种类型，恶意软件、网络攻击、物理攻击等。分析威胁的来源，外部攻击者、内部人员、合作伙伴等。评估每种威胁发生性，采用高、中、低等级进行评估。

3、然后分析每种威胁对目标造成的影响，包括财务损失、数据泄露、系统停运等。综合考虑威胁的影响，确定每种威胁的风险等级。根据风险等级，提出相应的意见措施，加强安全措施、培训员工、制定应急预案等。

4、最后记录威胁评估的日期、记录参与威胁评估的人员名单。