Descrição: Definir metodologia de avaliação de risco (ex: ISO 27005, NIST), critérios de impacto e probabilidade, e métricas de prioridade. Entregáveis: Plano de avaliação de risco com tabela de criticidade.