(و) تقييم الأخطار: ينبغي لجميع المشتركين أن يقوموا بتقييمات دورية للأخطار تحدد مواطن الخطر والضعف؛ وتكون مبنية على قاعدة عريضة بدرجة كافية للإحاطة بالعوامل الرئيسية، الداخلية والخارجية، مثل التكنولوجيا، والعوامل المادية والبشرية، والسياسات، والخدمات التي تقدمها أطراف ثالثة وتنطوي على آثار أمنية؛ وتسمح بتحديد مستوى المجازفة المقبول؛ وتساعد في اختيار الضوابط المناسبة لإدارة الأخطار التي تنطوي على ضرر محتمل بنظم وشبكات المعلومات في ضوء طبيعة وأهمية المعلومات الواجب حمايتها؛
f) оценка риска. Все участники должны выполнять периодическую оценку риска, которая: позволяет выявлять угрозы и факторы уязвимости; имеет достаточно широкую базу, чтобы охватить такие ключевые внутренние и внешние факторы, как технология, физические и человеческие факторы, применяемая методика и услуги третьих лиц, сказывающиеся на безопасности; дает возможность определить допустимую степень риска; и помогает выбрать надлежащие инструменты контроля, позволяющие регулировать риск потенциального ущерба информационным системам и сетям с учетом характера и значимости защищаемой информации;