iDie strukturierte Definition der Anforderungen an das Security-System erfordert neben der Transformation der Geschäftsanforderungen eine umfangreiche Erfassung und Bewertung der äußeren und inneren Einflüsse. In diesem Kapitel werden bestehende Best Practices zu einem umfassenden Exposure-Management weiterentwickelt, anhand praktischer Fragestellungen entwickelt und mit einem Ansatz zu einem Exposure-Maturity-Modell abgeschlossen. Sodann werden grundlegende Ansätze zu Risiken und der Risikobewertung vorgestellt. Als wesentlicher Aspekt des Exposure-Managements stellt sich die Erfassung möglicher Bedrohungs- und Störungsanzeichen aus den Zustandsinformationen der System-Technik dar. Diese, über das Monitoring von Systemen weit hinausgehende Aufgabe, wird im abschließenden Teil Observability vermittelt.