ครอบคลุมการดำเนินการอย่างน้อย ดังนี้ (ก) กำหนดผู้รับผิดชอบต่อความเสี่ยง หรือเจ้าของความเสี่ยง (risk owner) (ข) ระบุการควบคุมที่มีอยู่ในปัจจุบัน (existing control) (ค) วิเคราะห์โอกาสหรือความถี่ที่จะเกิด
โจมตีทาง Cyber (cyber attack attempts) ไม่นับเหตุการณ์ DDoS เช่น malware, SQL injection, social engineering โดยนับจาก incident report และ log ของอุปกรณ์ ครั้ง 12 จำนวนเหตุการณ์ภัยคุกคามทาง Cyber ที่สำเร็จ