8.2信息安全風險評估

組織應考慮6.1.2a)所建立的準則，按計劃的時間間隔，或當重大變更提出或發生時，執行信息安全風險評估。

組織應保留信息安全風險評估結果的文件化信息。