ISMS（情報セキュリティマネジメントシステム）におけるリスクアセスメントは、「リスク特定」「リスク分析」「リスク評価」の3ステップで構成されており、最初に対象資産の脅威や脆弱性を洗い出す「リスク特定」を実施します。 リスク対応は、リスクアセスメントの結果を受けてリスクへの対策（低減・移転・回避・保有）を実施する工程です。 リスク評価は、リスク分析の後にリスク基準と比較して優先度を判定する第3ステップです。 リスク分析は、リスク特定の後にリスクの重大性や発生可能性を検討する第2ステップです。