大分類 3. リスクの特定
公式解説SCS-620 別紙より
「リスクの特定」は、組織の現在のサイバーセキュリティリスクを理解することを目的として実施するものであり、以下 2 つの中分類に分けられる。
3-1 資産管理
公式解説目的: 組織の資産（データ、ハードウェア、ソフトウェア、システム、施設、サービス、人材を含む）を特定し、組織の目的及びリスク戦略に対する重要性に応じて管理すること。
3-2 リスクアセスメント
公式解説目的: 組織が、組織、資産、及び個人に対するセキュリティリスクを理解すること。