(و) تقييم الأخطار: ينبغي لجميع المشتركين أن يقوموا بتقييمات دورية للأخطار تحدد مواطن الخطر والضعف؛ وتكون مبنية على قاعدة عريضة بدرجة كافية للإحاطة بالعوامل الرئيسية، الداخلية والخارجية، مثل التكنولوجيا، والعوامل المادية والبشرية، والسياسات، والخدمات التي تقدمها أطراف ثالثة وتنطوي على آثار أمنية؛ وتسمح بتحديد مستوى المجازفة المقبول؛ وتساعد في اختيار الضوابط المناسبة لإدارة الأخطار التي تنطوي على ضرر محتمل بنظم وشبكات المعلومات في ضوء طبيعة وأهمية المعلومات الواجب حمايتها؛
(f) Risk assessment. All participants should conduct periodic risk assessments that identify threats and vulnerabilities; are sufficiently broad-based to encompass key internal and external factors, such as technology, physical and human factors, policies and third-party services with security implications; allow determination of the acceptable level of risk; and assist in the selection of appropriate controls to manage the risk of potential harm to information systems and networks in the light of the nature and importance of the information to be protected;