หลักการของการประเมินความเสี่ยงมีดังนี้
- เป้าหมายที่ชัดเจน: การประเมินควรมีเป้าหมายที่ชัดเจนสะท้อนความต้องการข้อมูลของผู้ตัดสินใจ และกำหนดในการสนทนาซ้ำระหว่างผู้ประเมินและผู้ตัดสินใจ การประเมินความเสี่ยงเชื่อมโยงกับการตัดสินใจเสมอ สามารถจัดลำดับความสำคัญของการดำเนินการ ให้วิธีการที่เป็นกลางและป้องกันได้เพื่อแยกแยะทางเลือก และอนุญาตให้ตัดสินใจได้
- ขอบเขตและเนื้อหา: ควรขึ้นอยู่กับเป้าหมายของการประเมินและความเห็นของผู้เชี่ยวชาญ พิจารณาประโยชน์และต้นทุนของการขอข้อมูลเพิ่มเติมก่อนดำเนินการประเมิน ขอบเขตประกอบด้วย: ผลิตภัณฑ์ (ประเภท) ที่เป็นบริบทของการประเมิน อันตรายที่เกี่ยวข้อง สถาบัน/กลุ่มเป้าหมาย/บุคคลที่เป็นบริบท และสถานการณ์การโจมตี/เหตุการณ์ที่เกี่ยวข้องกับเป้าหมาย
- ประเภทการประเมิน: ควรตอบสนองต่อลักษณะของอันตรายที่เป็นไปได้ ข้อมูลที่มีอยู่ และความต้องการในการตัดสินใจ กล่าวคือ โปรไฟล์ความเสี่ยงควรกำหนดให้สมบูรณ์ที่สุดในขั้นตอนการออกแบบ มีเทคนิคหรือเครื่องมือการประเมินความเสี่ยงที่แตกต่างกันสำหรับประเภทต่างๆ
- ระดับความพยายาม: ควรสัมพันธ์กับความสำคัญของการตัดสินใจที่จะทำ หลักการนี้เกี่ยวข้องกับหลักการ 2 และ 3 และเน้นว่าการประเมินความเสี่ยงอาจแตกต่างกันอย่างมากในมาตราส่วน ระยะเวลาที่มีสำหรับการตัดสินใจอาจส่งผลต่อขนาดของการประเมินความเสี่ยง
- ความเป็นกลางและมีหลักฐาน: การประเมินควรเป็นกลาง มีระบบ มีโครงสร้าง และขึ้นอยู่กับหลักฐานในทางปฏิบัติ หมายความว่ากระบวนการที่ใช้ควรจัดระเบียบและใช้วิธีที่ยอมรับ เพื่อให้ผลลัพธ์สามารถทำซ้ำและน่าเชื่อถือได้ การประเมินที่มีหลักฐานยังหมายความว่ามีความพยายามเพื่อให้มีข้อมูลที่เหมาะสมพร้อมใช้งาน
- ลักษณะเชิงคุณภาพและเชิงปริมาณ: ความเสี่ยงควรลักษณะสภาพแบบเชิงคุณภาพ และเมื่อเหมาะสม แบบเชิงปริมาณ
- ความไม่แน่นอน: การประเมินความเสี่ยงต้องระบุความไม่แน่นอนของตัวเองและสาเหตุของความไม่แน่นอนอย่างชัดเจน รวมถึงการสนับสนุนช่วงของการประมาณความเสี่ยงที่เป็นไปได้พร้อมคุณลักษณะเชิงปริมาณ สำหรับข้อสมมติที่สำคัญ เมื่อเหมาะสม
