Organisaatio on määritellyt menettelyt tietoturvariskien arvioimiseksi ja käsittelemiseksi. Menettelyihin sisältyy ainakin:

• Riskien tunnistamismenetelmät
• Riskianalyysimenetelmät
• Riskien arviointiperusteet (vaikutus ja todennäköisyys).
• Riskien priorisointi, käsittelyvaihtoehdot ja valvontatehtävien määrittely.
• riskien hyväksymiskriteerit
• Prosessin toteuttamissykli, resursointi ja vastuut
• Tulokset olisi sisällytettävä organisaation riskinhallintaprosessiin.

Tehtävän omistaja tarkistaa säännöllisesti, että menettely on selkeä ja tuottaa johdonmukaisia tuloksia.

Organisaatio arvioi tarjoamiinsa tuotteisiin liittyvät tietoturvariskit.

Riskien arviointi on keskeinen osa kehitysprosessia, ja se on toistettava asianmukaisin väliajoin tai kun tuotteeseen tehdään merkittäviä muutoksia.

Riskinarviointi kattaa vähintään seuraavat seikat:

• tiedot, jotka todennäköisesti ovat vaarassa (esim. henkilötiedot, liikesalaisuudet).
• Arvioinnin tulokset tuotteen suunnittelu-, suunnittelu-, kehitys-, tuotanto-, toimitus- ja ylläpitovaiheissa.
• uhkatekijät, jotka todennäköisesti yrittävät vahingoittaa tietoja (esim. hakkerit, virukset).
• haavoittuvuudet, joita voidaan käyttää hyväksi (esim. heikko pääsynvalvonta, puuttuvat järjestelmäasiakirjat).
• Vaikutus, joka voi aiheutua, jos riski toteutuu (esim. maineen menetys, taloudellinen menetys).

Riskit arvioidaan organisaation yleisen riskinottohalukkuuden avulla.

Organisaation täytyy määrittää hyväksyttävä taso riskeille. Taso lasketaan riskien todennäköisyyden, vakavuuden ja hallintakeinojen pohjalta.