f) Évaluation des risques. Toutes les parties prenantes doivent, pour déceler les dangers qui menacent et les points vulnérables, procéder périodiquement à des évaluations des risques qui soient suffisamment larges pour couvrir l'ensemble des principaux facteurs internes et externes, tels que la technologie, les facteurs physiques et humains, les politiques et les services de tierces parties ayant des conséquences pour la sécurité, qui permettent de déterminer le niveau acceptable de risque et qui facilitent la sélection des mesures de contrôle appropriées pour gérer le risque de préjudices susceptibles d'être causés aux systèmes et réseaux d'information, selon la nature et l'importance de l'information à protéger ;
f) оценка риска. Все участники должны выполнять периодическую оценку риска, которая: позволяет выявлять угрозы и факторы уязвимости; имеет достаточно широкую базу, чтобы охватить такие ключевые внутренние и внешние факторы, как технология, физические и человеческие факторы, применяемая методика и услуги третьих лиц, сказывающиеся на безопасности; дает возможность определить допустимую степень риска; и помогает выбрать надлежащие инструменты контроля, позволяющие регулировать риск потенциального ущерба информационным системам и сетям с учетом характера и значимости защищаемой информации;