2. Определение бизнес- и технологических процессов и связанных с ними информационных систем

На данном этапе критичные последствия реализации рисков связываются с бизнес- и технологическими процессами, в которых они могут возникнуть.

При описании связки "последствие - процесс - информационная система" необходимо принимать во внимание, что одинаковое последствие может возникать различными способами в различных процессах и реализовываться в одном или нескольких информационных ресурсах.

Перечень процессов необходимо дополнить возможными недостатками их функционирования, а среди перечня информационных ресурсов отметить целевые информационные системы и применяемые или планируемые к внедрению контрольные и защитные меры информационной безопасности.