In order to effectively control the risk, either threats or vulnerabilities must be managed. Besides that, what can be done to accomplish the target?

Đáp án đúng: "Controlling the ability of threat and vulnerability pairs". Rủi ro chỉ thành hiện thực khi một mối đe doạ (threat) gặp đúng điểm yếu (vulnerability) mà nó khai thác được, nên ngoài việc quản lý riêng từng bên, cách làm hiệu quả là kiểm soát khả năng cặp đe doạ – điểm yếu ấy kết hợp với nhau, tức giảm xác suất mối đe doạ chạm tới điểm yếu tương ứng. "Eliminating the risks" sai vì trong thực tế không thể đưa rủi ro về 0, mục tiêu của quản trị rủi ro là hạ rủi ro xuống mức tổ chức chấp nhận được. "Eliminating the vulnerabilities" cũng phi thực tế vì hệ thống luôn phát sinh điểm yếu mới, hơn nữa câu dẫn đã nhắc việc quản lý điểm yếu nên đây không phải biện pháp bổ sung. "All of them" sai vì hai cách loại bỏ tuyệt đối kể trên không đạt được, nên không thể gộp tất cả là đúng.