Organisaatio pyrkii ennakoivasti listaamaan ja arvioimaan erilaisten tietoturvariskien todennäköisyyttä ja vakavuutta. Dokumentaatio sisältää seuraavat asiat:

• Riskin kuvaus
• Riskin vakavuus ja todennäköisyys
• Riskiä hallitsevat ohjeet ja hallintatehtävät
• Riskin hyväksyttävyys

Organisaatio on määritellyt menettelyt tietoturvariskien arvioimiseksi ja käsittelemiseksi. Menettelyihin sisältyy ainakin:

• Riskien tunnistamismenetelmät
• Riskianalyysimenetelmät
• Riskien arviointiperusteet (vaikutus ja todennäköisyys).
• Riskien priorisointi, käsittelyvaihtoehdot ja valvontatehtävien määrittely.
• riskien hyväksymiskriteerit
• Prosessin toteuttamissykli, resursointi ja vastuut
• Tulokset olisi sisällytettävä organisaation riskinhallintaprosessiin.

Tehtävän omistaja tarkistaa säännöllisesti, että menettely on selkeä ja tuottaa johdonmukaisia tuloksia.

Strategisilla mahdollisuuksilla voidaan puuttua organisaation kyberturvallisuusriskeihin ja parantaa yleistä strategista asemaa. Tunnista ja sisällytä ne organisaation kyberturvallisuusriskikeskusteluihin esimerkiksi seuraavilla tavoilla:

• Määritellään menetelmät strategisten mahdollisuuksien tunnistamiseksi ja integroimiseksi, kuten SWOT-analyysi.
• Tunnistetaan ja dokumentoidaan organisaation joustotavoitteet ja sovitetaan organisaation riskienhallintamenettely niiden mukaiseksi.
• Lasketaan, dokumentoidaan ja priorisoidaan positiiviset riskit negatiivisten riskien rinnalla ja varmistetaan, että molemmat otetaan huomioon päätöksentekoprosesseissa.

Organisaation täytyy määrittää hyväksyttävä taso riskeille. Taso lasketaan riskien todennäköisyyden, vakavuuden ja hallintakeinojen pohjalta.

Organisaation on tunnistettava sen toiminnan jatkuvuuden kannalta kriittiset toiminnot (esim. asiakkaalle tarjottavat palvelut).

Kriittisiin toimintoihin liittyviä riskejä tulisi tunnistaa, arvioida sekä käsitellä korostetusti sekä säännöllisesti yhteistyössä palveluntoimittajien kanssa.