A identificar os riscos considerando as ameaças e as vulnerabilidades associadas aos ativos de informação para, em seguida, serem avaliados e priorizados.
B determinar as formas de tratamento dos riscos, considerando as opções de reduzir, evitar, transferir ou reter o risco observando a relação custo/benefício.
C executar as ações de segurança da informação incluídas no plano de tratamento dos riscos aprovado observando as restrições organizacionais, técnicas e estruturais.
D detectar possíveis falhas nos resultados, monitorar os riscos, as ações de proteção e verificar a eficácia do processo de gestão de riscos.
E verificar os resultados do processo de gestão de riscos executado, considerando o plano de tratamento dos riscos e submetendo-os a nova avaliação se necessário.