Одним из основных документов, предъявляющих требования к способу оценки рисков является международный стандарт «ISO 27001: Информационные технологии. Методы защиты. Системы менеджмента информационной безопасности» (далее – стандарт ISO 27001). Формулы для расчета рисков в рамках требований ISO 27001 не рассматриваются, однако выделяют: 1) Необходимость в определении критериев приемлемости и критериев для оценки рисков ИБ; 2) Необходимость в гарантии обоснованности и непротиворечивости актуальных для рассматриваемой системы рисков информационной безопасности; 3) Необходимость в идентификации рисков информационной безопасности; 4) Необходимость в идентификации владельца риска; 5) Необходимость в оценке потенциальных потерь в случае реализации риска; 6) Необходимость в оценки степени вероятности реализации риска; 7) Необходимость в сопоставлении рисков с установленными критериями и в определении вектора приоритетных направлений по их обработке [25].