Att ett informationssäkerhetsarbete ska vara riskbaserat innebär att det är den aktuella situationen och den aktuella informationsmängden som ställer de exakta kraven på informationssäkerhetsarbetet och de säkerhetsåtgärder som införs .