A Quando riscos são identificados, após a sua avaliação, uma decisão de tratamento deve ser tomada para cada um dos riscos.
B Em grandes organizações, ISO ou CISO são pessoas responsáveis pelo processo de gerenciamento de risco, sendo considerado um processo contínuo.
C É possível realizar uma análise de riscos puramente quantitativa com o objetivo de calcular, com base no impacto do risco, o nível do prejuízo financeiro e a probabilidade de uma ameaça se tornar um incidente.
D A avaliação do risco deve incluir uma abordagem sistemática para estimar a magnitude dos riscos (análise do risco) e o processo de comparar o risco estimado em relação a um critério, a fim de determinar a importância do risco (estimativa do risco).