A análise dos riscos de TI devem basear-se, principalmente,

nos tipos de ameaça e nas medidas de proteção.

nos tipos de ameaça e na gravidade das conseqüências.

nos tipos de ameaça e nas probabilidades de ocorrência.

nas probabilidades de ocorrência e nas medidas de proteção.

nas probabilidades de ocorrência e na gravidade das conseqüências.