As avaliações de risco de segurança da informação devem avaliar os sistemas de backup e sua capacidade de lidar com ameaças de ransomware. No entanto, o NIST SP-800-30 não lista o ransomware como ameaça específica.