リスクは、脅威が脆弱性を利用することで生じます。脅威だけがあっても、脆弱性だけがあっても、それだけではリスクにはなりません。両方が組み合わさったときにリスクが生じ、それぞれの組み合わせに応じた対策を講じることでリスクを下げられます。