(و) تقييم الأخطار: ينبغي لجميع المشتركين أن يقوموا بتقييمات دورية للأخطار تحدد مواطن الخطر والضعف؛ وتكون مبنية على قاعدة عريضة بدرجة كافية للإحاطة بالعوامل الرئيسية، الداخلية والخارجية، مثل التكنولوجيا، والعوامل المادية والبشرية، والسياسات، والخدمات التي تقدمها أطراف ثالثة وتنطوي على آثار أمنية؛ وتسمح بتحديد مستوى المجازفة المقبول؛ وتساعد في اختيار الضوابط المناسبة لإدارة الأخطار التي تنطوي على ضرر محتمل بنظم وشبكات المعلومات في ضوء طبيعة وأهمية المعلومات الواجب حمايتها؛
f) Evaluación de riesgos. Todos los participantes deben realizar evaluaciones periódicas de los riesgos a fin de determinar las amenazas y vulnerabilidades; esas evaluaciones deben tener una base suficientemente amplia para abarcar los principales factores internos y externos, tales como la tecnología, los factores físicos y humanos, las políticas y los servicios de terceros que tengan consecuencias para la seguridad; permitir la determinación del nivel de riesgo aceptable; y ayudar a la selección de controles apropiados para gestionar el riesgo de posibles daños a los sistemas y redes de información, teniendo en cuenta la naturaleza y la importancia de la información que se debe proteger;