f) Evaluación de riesgos. Todos los participantes deben realizar evaluaciones periódicas de los riesgos a fin de determinar las amenazas y vulnerabilidades; esas evaluaciones deben tener una base suficientemente amplia para abarcar los principales factores internos y externos, tales como la tecnología, los factores físicos y humanos, las políticas y los servicios de terceros que tengan consecuencias para la seguridad; permitir la determinación del nivel de riesgo aceptable; y ayudar a la selección de controles apropiados para gestionar el riesgo de posibles daños a los sistemas y redes de información, teniendo en cuenta la naturaleza y la importancia de la información que se debe proteger;
(f) 风险评估。所有参与者应定期进行风险评估，这些评估应：指出各种威胁和弱点；基础广泛，足以包含关键的内外因素，例如技术、物质和人的因素、政策及涉及安全问题的第三方服务；能够确定可接受的风险水平；协助选择适当的控制手段，根据所要保护的信息的性质和重要性，管理可能对信息系统和网络造成危害的风险；