Bilgi güvenliği risk yönetimi, kurumların en çok belge ürettiği ama en az karar aldığı alanlardan biridir; risk kayıtları çoğu zaman güncellenmeyen, kimsenin sahiplenmediği listelere dönüşür. ISO/IEC 27005, risk yönetimini ISO 31000 ile hizalanmış bir süreç olarak tanımlar ve hem varlık temelli hem olay temelli yaklaşımlara yer vererek kurumun kendi olgunluğuna uygun bir yöntem seçmesine imkân tanır. Belirleyici olan yöntemin adı değil, risk kriterlerinin kurumun gerçek risk iştahını yansıtması ve sonucun bütçeye bağlanabilmesidir. On sekiz saatlik program altı modülden oluşur ve baştan sona uygulamalı risk laboratuvarı biçiminde ilerler. Katılımcılar gerçek varlık envanteri örnekleriyle çalışır, tehdit kataloğu kullanarak senaryo üretir, olasılık ve etki ölçeklerini kalibre eder, risk işleme seçeneklerini maliyet karşılaştırmasıyla değerlendirir. Her modülün çıktısı risk kaydına işlenir. Program sonunda katılımcı, kalibre edilmiş ölçekleri, en yüksek on riski ve işleme planını içeren tam bir risk değerlendirme dosyası üretir.