Um ou mais eventos de segurança da informação indesejados ou inesperados, que comprometem as operações do negócio e ameaçam a segurança da informação.

Ocorrência identificada de um sistema, ou serviço, que indica uma possível violação da política de segurança da informação que possa ser relevante para a segurança da informação.

Combinação da probabilidade da ocorrência de um evento e de suas consequências para um sistema ou organização.

Causa potencial de um incidente indesejado, que pode resultar em dano para um sistema ou organização.

Fragilidade de um ativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças.