信息安全风险评估方法如下：
信息安全风险评估方法是通过系统性的分析和评估，识别和评估信息系统和网络中存在的安全风险，从而确定风险等级和采取相应的风险治理措施。
1.确定评估目标与范围
在信息安全风险评估过程中，首先需要明确评估的目标和范围。评估目标可以是整个信息系统、特定的应用系统或者某个关键业务流程。定义清楚评估范围可以帮助评估人员更加有针对性地进行风险评估。
2.识别可能的威胁和漏洞
在信息安全风险评估中，需要识别可能的威胁和漏洞。威胁可以是内部的，如员工的疏忽和错误操作，也可以是外部的，如黑客攻击和病毒感染。漏洞可以是系统中存在的安全漏洞、软件的缺陷等。通过对威胁和漏洞的识别，可以确定潜在的风险。
3.评估风险的可能性和影响程度
评估风险的可能性和影响程度是信息安全风险评估的核心内容。可能性是指风险事件发生的概率，影响程度是指风险事件发生后对系统和业务的影响程度。评估人员可以使用定性或定量的方法对风险可能性和影响程度进行评估，如使用概率分布图、风险矩阵等。
4.确定风险等级和优先级
根据风险可能性和影响程度的评估结果，可以确定风险等级和优先级。常用的方法是将风险划分为高、中、低三个等级，并根据风险等级确定相应的风险治理措施。高风险需要优先处理，中风险可以采取适当的控制措施，低风险可以接受或者通过监控来管理。
5.制定风险治理措施
在信息安全风险评估的最后阶段，需要制定相应的风险治理措施。根据风险等级和优先级，制定相应的风险控制策略和安全措施。这包括技术措施、管理控制措施和意识教育培训等方面的措施，以减轻风险的发生和影响。
总结：
信息安全风险评估方法包括确定评估目标与范围、识别可能的威胁和漏洞、评估风险的可能性和影响程度、确定风险等级和优先级以及制定风险治理措施。通过信息安全风险评估，可以全面了解信息系统和网络中存在的安全风险，并采取相应的措施来保护信息资产和维护信息安全。