Потрібно усувати абсолютно всі виявлені ризики

Вартість захисту має бути нульовою

Ризики повинні оцінюватися тільки один раз на початку проєкту

Вартість контрзаходів має перевищувати вартість засобів захисту (в аспекті ефективності інвестицій)