No campo da segurança da informação, ao gerir riscos, é comum se falar sobre uma tríade de aspectos que se precisa ter em mente ao definir políticas de segurança para a organização. São elas: