信息系统，是由计算机硬件、网络和通信设备、计算机软件、信息资源、信息用户和规章制度组成的以处理信息流为目的的人机一体化系统，它主要有五个功能：即对信息的输入、存储、处理、输出和控制，因此有着十分重要的作用。
众所周知，任何事情都存在一定的风险，包含信息系统也是如此。如果对自身系统状态不了解，一旦发生危险将难以控制或解决，因此我们需要定期给信息系统进行风险评估。那么什么情况下信息系统需要做风险评估?
简单来说，信息系统风险评估是用来了解信息系统目前的网络安全防御能力，以及判断是否存在安全隐患，并提前采取办法防范。风险评估对于企业规避网络安全风险有很大的帮助，其中包含了多种安全检测手段。
答案是：信息系统在其生命周期的各阶段都需要进行风险评估。一个系统从设计到开发，再到正式投入使用，都应该将网络安全问题考虑在内。危险是不可预测的，但可以提前预防，然而预防的最佳方式则是进行全面检查，查漏补缺。
开展风险评估工作是为了更好地查找并发现信息系统或IT资产中存在的安全风险并进行修复，消除安全隐患，避免安全事件的发生。
1、风险评估不仅关乎信息系统，还应针对企业人员、企业网络安全管理相关制度以及设备设施等;
2、风险评估不应为了评估而评估。网络安全是一项长久的工作，不应该为了应付安全检查或被迫整改而做，保持时刻有网络安全建设的意识，开展风险评估工作是为了不断提高企业的网络安全水平和网络安全程度。
信息系统生命周期每阶段的评估频率分为日、周、月、季度和年，没有人能确定风险评估进行的频率和次数为多少算好，当然高频率相较低频率会更好一些，因为安全风险总是出其不意。