威胁评估模型表示组织关于识别可能的威胁的计划以及它将实施的最小化或应对这些威胁的手段。此类模型可以使用电子表格，图表，流程图，图表或许多其他辅助工具来说明其必要的要点。
目的
威胁评估模型的目的是使组织能够在可能的威胁发生之前识别它们，并概述防止它们或扭转其影响的方法。随着组织变得越来越庞大和复杂，它所面临的各种类型的威胁可以在数量和规模上增长，并且拥有一个既定的模型，组织可以使用它来组织和分析这些威胁，然后针对它们实施对策，这一点很重要。 。在不使用模型的情况下尝试最小化威胁可能会造成混乱，效率低下甚至反效果。
用途
在涉及责任问题时，威胁评估模型非常有用，例如可能导致客户向零售商提起民事诉讼的安全风险。他们还可能处理计算机安全等问题，这对于处理大量客户帐户信息的公司来说非常重要，尤其是当他们存储信用卡号，地址和社会安全号码等信息时。通过记录可能的威胁并提出处理它们的方法，组织可以保护自己，他们的声誉，他们的客户和整个社会。
核心问题
根据James Bayne为SANS Institute提供的“威胁和风险评估概述”，信息安全培训的来源，任何威胁评估模型都必须处理一些关键问题。首先，它必须确定需要保护的内容，例如实物资产或敏感信息。其次，它必须识别组织面临的所有威胁和漏洞。第三，必须列出如果丢失任何有价值资产将会发生什么的全部影响。第四，它必须就组织如何最大限度地减少这些威胁的风险提供一些解决方案。
分析威胁
在进行威胁评估时，您必须分析组织面临的威胁的性质和严重性。对威胁进行分类的最重要方面是将其识别为人类或非人类。例如，人类威胁将是黑客，心怀不满的员工，受过不当培训的员工或小偷。非人为威胁将是自然灾害或设备故障。威胁评估模型必须帮助您列出所有这些威胁并量化其严重程度。
