Détecter et évaluer les risques pour la sécurité de l’information, c’est‑à‑dire examiner les systèmes, les processus et les technologies afin de déterminer les faiblesses et les conséquences potentielles.
Analyser les risques détectés, c’est‑à‑dire mettre par écrit les niveaux de risques, les lacunes dans les mesures de contrôle et les recommandations d’atténuation, dans le but d’orienter les décisions et d’assurer le suivi des risques.
Soutenir l’examen des mesures de contrôle, c’est‑à‑dire évaluer leur conception, leur efficacité et leur conformité aux politiques et aux normes.
Évaluer les risques liés aux fournisseurs et aux tiers, c’est‑à‑dire veiller à ce que la documentation sur la sécurité soit conforme aux exigences du cabinet.
Tenir des registres des risques et faire le suivi des mesures correctives, c’est‑à‑dire surveiller les progrès et veiller à la résolution rapide des risques repérés.