Em um processo de gestão de riscos,

não há necessidade de monitoração dos riscos durante a utilização de um sistema de informação.

devem ser qualificados e quantificados todos os riscos como tendo o mesmo nível de segurança.

a ação de transferência do risco corresponde a reduzir seu nível de impacto.

as informações sobre os riscos devem ser compartilhadas entre o tomador de decisões e as partes interessadas.

a ação de identificação de vulnerabilidades corresponde a um desligamento geral do sistema de informação sob ameaça.