Zielsetzung eines ISMS ist die Abwendung aller Bedrohungen von einem Informationsverbund. Der Nutzen ergibt sich somit aus der Summe aller bewerteten Risiken, das bedeutet jeweils aus ihrer Eintrittswahrscheinlichkeit multipliziert mit der Höhe des möglichen Schadens.