자산(Asset) × 취약점(Vulnerability) × 위협(Threat) - 정보보호대책(Safeguard)
정보나 정보처리 기기에 대한 위협의 종류, 위협의 영향, 위협의 발생가능성 등을 평가하는 과정
위험을 인식하고, 적절한 비용 이내에서 필요한 통제 방안을 선택함으로써 위협을 적절히 통제하는 과정
