causa potencial de um incidente de segurança da informação que pode resultar em danos a um sistema ou prejuízos a uma organização.

fraqueza de um ativo ou controle que pode ser explorada e então pode ocorrer um evento com uma consequência negativa.

ocorrência ou mudança de um conjunto específico de circunstâncias.

elemento que, individualmente ou combinado, tem o potencial para dar origem ao risco.

evento de segurança da informação indesejado ou inesperado que tem probabilidade significativa de comprometer as operações do negócio.