同樣的壹套方法，很多人並不覺得奇怪。壹方面要盡可能有效、全面地對風險進行評估，並根據風險進行有效的控制，這是從評估的實用性和對客戶的效果(即項目質量)的角度出發；另壹方面，我們必須保證工程的進度。經常做評估的人都知道，風險評估在資產認定階段不能太細，避免做CMDB是為了控制項目進度。
每個公司或個人都可能有壹套信息資產風險評估的最佳方法論，通常是在多年的實踐中積累、完善或直接借鑒而來，而且通常在為客戶做風險評估時，也是用這套所謂的最佳實踐(尤其是新手)來做的。但是，這忽略了壹個問題。每個客戶的實際情況不壹樣，項目的範圍也不壹樣。其信息資產的分配和管理方式、客戶的實際合作情況以及客戶是否需要通過認證都是不壹樣的。在實際執行過程中，可能會遇到客戶原有的資產管理非常混亂，缺乏集中或統壹的人來了解和管理資產，人員對資產的熟悉程度過於分散，評估結果是否要結合保險和保障領域，客戶是否有足夠的人員和時間來配合妳的工作，等等。
因此，如果不能很好地根據客戶選擇評估方法，有時會影響項目的實施。因此，我們需要根據客戶的具體情況適當調整我們的評估方法和實施方式，比如我們是選擇按部門評估、按資產分類評估還是按系統分組評估，以及資產分類的粒度應該達到什麽程度。也就是說，我們可能要同時掌握壹套以上的風險評估操作方法，或者同壹種方法不能壹成不變地適用於每壹個項目。當然，如果妳不接受我的觀點，恐怕看下面的內容意義不大。