GRC

Governance, Risk and Compliance.
Las organizaciones deben adherirse a prácticas de seguridad para protegerse a sí mismas, pero además dependiendo del sector deben adherirse a algunas regulaciones externas.
Por ejemplo regulaciones bancarias, SWIFT CSP (Customer Security Programme), protección de los datos, etc.

Governance Risk and Compliance lo tiene mejor explicado.

Risk Assessments

O identificación de riesgos. La idea es poder identificar riesgos según sus prácticas de seguridad, hay riesgos que podemos aceptar según su impacto en la continuidad del negocio. Por ejemplo podemos aceptar que no se mantengan logs por largos periodos de tiempo porque esto significa un alto costo de almacenamiento.

Y eso :) está todo mejor explicado en el apartado que mencioné

Bandera

Simplemente completar el risk assessment.

Sencillo y preciso.
Continuar al Advent of Cyber día 10