В процессах ITIL выбор значимых рисков осуществляется на основе комбинации двух факторов: вероятности возникновения угрозы и потенциального ущерба от ее реализации. Эксперты оценивают каждую выявленную угрозу по этим критериям и отбирают те, которые превышают установленный порог значимости. Такой подход позволяет сосредоточить внимание и ресурсы на наиболее критичных для бизнеса рисках, игнорируя маловероятные или малозначительные угрозы. Это обеспечивает баланс между затратами и уровнем защиты ИТ-услуг.