技术因素、管理因素。技术因素：由于技术缺陷或漏洞，软件漏洞、硬件故障、网络攻击等，导致信息被窃取、篡改或破坏等风险。管理因素：由于管理不善或制度不完善，权限管理不当、安全意识薄弱等，导致信息泄露、系统被攻击等风险。
信息安全威胁主要包括以下几种：恶意软件威胁 恶意软件，如勒索软件、间谍软件、钓鱼软件等，它们以各种手段侵入信息系统，窃取、破坏或篡改数据，给信息安全带来严重威胁。
企业文件信息不是信息安全的主要风险来源。信息内容安全威胁包括淫秽、色情、赌博及有害信息、垃圾电子邮件等威胁。
资产：是企业、机构或个人所拥有的有价值的信息或资源，如数据、软件、硬件设备、人员等。威胁：是指对资产造成损害或损失的任何潜在因素或事件，如病毒、恶意软件、网络攻击、自然灾害等。
1、信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。
2、信息安全风险评估是一种科学管理手段，通过系统分析网络与信息系统所面临的威胁及脆弱性，评估潜在安全事件可能造成的损失，以制定有效防护策略，确保网络和信息安全。它涵盖了手机、电子邮件、腾讯聊天等多种信息平台的风险。
3、信息安全风险评估是一项重要的活动，它从风险管理的角度出发，依据国家相关信息安全技术标准和准则，运用科学的方法和手段，对信息系统的保密性、完整性和可用性等安全属性进行全面而科学的分析。 在进行风险评估时，我们会对网络与信息系统可能面临的威胁以及存在的脆弱性进行系统的评价。
4、从信息安全的角度来讲，风险评估是对信息资产（即某事件或事物所具有的信息集）所面临的威胁、存在的弱点、造成的影响，以及三者综合作用所带来风险的可能性的评估。作为风险管理的基础，风险评估是组织确定信息安全需求的一个重要途径，属于组织信息安全管理体系策划的过程。
信息安全面临的威胁主要来自以下三个方面：技术安全风险因素。基础信息网络和重要信息系统安全防护能力不强。国家重要的信息系统和信息基础网络是我们信息安全防护的重点，是社会发展的基础。
信息安全面临的威胁主要包括：网络钓鱼 网络钓鱼是一种通过发送欺诈性电子邮件或建立假冒网站来诱骗用户泄露个人信息（如用户名、密码和银行账户等）的攻击方式。攻击者利用这种手段获取用户数据，进而进行非法活动。恶意软件（Malicious Software）恶意软件是信息安全领域的主要威胁之一。
信息安全面临的威胁主要分为三个层面：技术安全风险因素 我国在互联网、电信网、广播电视网等基础网络以及铁路、政府、银行等关键基础设施的信息系统安全防护上已取得一定进展，但防护能力仍不足。主要问题是安全投入不足、安全体系不完善，以及关键领域对外国高端产品的依赖。
网络攻击：黑客攻击、网络钓鱼、恶意软件等网络威胁频发，可能导致机密信息泄露和系统瘫痪。 数据泄露风险：外部攻击和内部员工失误都可能导致个人隐私和公司敏感信息外泄。 移动设备威胁：移动设备的丢失、非法访问和恶意软件安装构成安全挑战，可能导致数据被盗取或设备被控制。
信息泄露：信息被泄露或透露给某个非授权的实体。 破坏信息的完整性：数据被非授权地进行增删、修改或破坏而受到损失。 拒绝服务：对信息或其他资源的合法访问被无条件地阻止。 非法使用（非授权访问）：某一资源被某个非授权的人，或以非授权的方式使用。
