Risks happen if threats can take advantage of the system’s weaknesses, thus we are able to control those risks by only identifying the factors which are threats and vulnerabilities.

Đáp án đúng: "False". Vế đầu của phát biểu đúng: rủi ro xuất hiện khi mối đe doạ (threat) có thể khai thác điểm yếu (vulnerability) của hệ thống. Nhưng kết luận rằng chỉ cần nhận diện mối đe doạ và điểm yếu là kiểm soát được rủi ro thì sai, vì nhận diện chỉ là bước đầu; quản trị rủi ro còn phải xác định tài sản và giá trị của nó, đánh giá khả năng xảy ra và tác động để xếp ưu tiên, chọn cách xử lý (giảm thiểu, chuyển giao, chấp nhận, tránh né), triển khai biện pháp kiểm soát và giám sát liên tục. Biết điểm yếu mà không vá hay không đặt kiểm soát thì rủi ro vẫn còn nguyên. Chọn "True" là đồng nhất việc nhận diện với việc kiểm soát, bỏ qua toàn bộ các bước đánh giá, xử lý và giám sát phía sau.