Segundo as definições da ISO 27005, a análise/avaliação de riscos de segurança da informação, entre outros:

I - Determina o valor dos ativos de informação.

II - Identifica as ameaças e vulnerabilidades aplicáveis existentes (ou que poderiam existir).

III - Identifica os controles existentes e seus efeitos no risco identificado.

IV - Determina as consequências passíveis, prioriza os riscos derivados e ordena-os de acordo com os critérios de avaliação de riscos estabelecidos na definição do contexto.

Estão CORRETOS: