O objetivo central da segurança da informação é disseminar a informação e aumentar os riscos. 

É possível reduzir todos os riscos a zero (eliminando-os), minimizando assim seus impactos. 

O gerenciamento dos riscos está relacionado ao que é indesejável, ao que é factível e ao que é economicamente inaceitável. 

Gerenciamento de riscos é o processo pelo qual são identificados os riscos a que estão sujeitos os dados, sistemas de informação e redes de comunicação que lhes dão suporte, realizando ações que minimizem seus efeitos. 

risco é a probabilidade de uma ameaça explorar vulnerabilidades para causar perdas ou danos a um ativo ou grupo de ativos da organização. São determinados pela combinação das ameaças, vulnerabilidades e valores dos ativos, que são mensurados com base no impacto (resultados de um incidente inesperado) desses ativos aos negócios da organização. 

ameaça é a probabilidade de um risco explorar vulnerabilidades para causar perdas ou danos a um ativo ou grupo de ativos da organização. São determinadas pela combinação dos riscos, vulnerabilidades e impacto (resultados de um incidente inesperado) nos negócios da organização.  

impacto é a probabilidade de uma ameaça explorar vulnerabilidades para causar perdas ou danos a um ativo ou grupo de ativos da organização. São determinados pela combinação dos riscos, vulnerabilidades e negócios da organização. 

probabilidade é o risco de uma ameaça explorar vulnerabilidades para causar perdas ou danos a um ativo ou grupo de ativos da organização. É determinada pela combinação dos riscos, vulnerabilidades e impacto (resultados de um incidente inesperado) desses ativos aos negócios da organização