A vulnerabilidade corresponde ao evento capaz de causar danos à organização, enquanto o risco consiste na fragilidade existente em pessoas, processos, instalações ou sistemas que pode ser explorada por uma ameaça.

A identificação de riscos constitui etapa dispensável quando a organização já dispõe de sistemas eletrônicos de monitoramento, uma vez que esses recursos eliminam as vulnerabilidades existentes.

O gerenciamento de riscos restringe-se à adoção de medidas corretivas após a ocorrência de incidentes, não abrangendo atividades de identificação, análise, avaliação e tratamento dos riscos.

O gerenciamento de riscos compreende um processo contínuo de identificação, análise, avaliação, tratamento e monitoramento dos riscos, visando reduzir a probabilidade de ocorrência de eventos adversos e seus respectivos impactos.

A prevenção de riscos fundamenta-se exclusivamente no fortalecimento das barreiras físicas de segurança, sendo irrelevante a adoção de medidas relacionadas a pessoas, procedimentos ou tecnologia.