Definir um nível aceitável de risco que uma organização pode tolerar, e reduzir o risco a esse nível.

Analizar os efeitos da perturbação do negócio e preparar a organização para responder aos mesmos.

Analizar e remover todas as vulnerabilidades e ameaças à segurança dentro da organzação

Definir o nível aceitável de risco que a organização pode tolerar, e atribuir todos os custos associados com a perda ou perturbação da informação da organização.