De acordo com o processo estruturado pela ABNT NBR ISO/IEC 27005, a atividade de avaliação de riscos precede a fase de identificação de riscos, pois é necessário determinar os critérios de aceitação e a matriz de probabilidade e impacto antes de mapear as ameaças reais associadas aos ativos.