Pode-se responder ao risco de cinco formas diferentes: evitando, transferindo, reduzindo, aceitando e ignorando.

As ameaças precisam ser definidas quanto ao grau de exposição que apresentam para o ativo em questão. Quando se define o grau da ameaça, deseja-se determinar o quanto existe daquela ameaça, independente do ativo ao qual se está referindo para aquela ameaça.

Além de avaliar as ameaças e vulnerabilidades, é importante chegar a um indicador de impacto, ou seja, do prejuízo estimado para um incidente de segurança da informação envolvendo um determinado ativo de um determinado processo de negócio.

A avaliação do risco propriamente dita nada mais é do que comparar a estimativa de risco contra os critérios de risco para determinar os níveis de riscos de incidentes de segurança da informação. Normalmente, quanto maior o impacto e a probabilidade, maior será o risco.

A análise de risco é a parte principal do sistema de gestão da segurança da informação, pois sem essa análise seria praticamente impossível determinar o conjunto adequado de medidas de segurança e garantir qualquer nível de sinergia nas ações tomadas.