O objetivo central da segurança da informação é disseminar a informação e aumentar os riscos.

É possível reduzir todos os riscos a zero (eliminando-os), minimizando assim seus impactos.

O gerenciamento dos riscos está relacionado ao que é indesejável, ao que é factível e ao que é economicamente inaceitável.

Gerenciamento de riscos é o processo pelo qual são identificados os riscos a que estão sujeitos os dados, sistemas de informação e redes de comunicação que lhes dão suporte, realizando ações que minimizem seus efeitos.