Considerando os conceitos da NBR ISO/IEC 27.005, quanto à...

A valoração dos ativos pode ser determinada de duas maneiras: pela valoração da reposição do ativo e as consequências ao negócio relacionadas à perda ou pelo comprometimento do ativo.

A análise de riscos qualitativa é realizada com valores numéricos, de preferência com dados históricos de incidentes.

A análise qualitativa de riscos depende da exatidão e da integridade dos dados.

Uma das etapas da análise de riscos é a análise das consequências. Nessa fase, é importante analisar, de forma quantitativa, as consequências.

Na avaliação de probabilidade, designam-se valores para a probabilidade e para as consequências de um risco.