Как правильно делать анализ рисков ИБ

Смотря какой. "Анализ рисков ИБ" без дополнения "на предмет ..." - это ни о чем. Это все равно что инженеру про расчет изделия сказать. А какой расчет-то - на изгиб с кручением, на гомогенную конденсацию или на болотную проходимость? Это разные задачи, а не одна. Задача "Расчет вообще" не решаема, бессмысленна, недостаточнно информации для решения, только время терять.
Выбор применимых контролей из 27002 - это один анализ рисков (довольно смешной, кстати, но это отдельная тема), выбор между СЗИ А и Б - другой, прием стремного работника на генератора ключей - третий и т.п. А поскольку нет общего знаменателя, то нет и универсального инструмента.

Эта довольно старая тирада, произносимая с вариациями года четыре уже, будет здесь красоваться те две недели, которые я купаюсь и загораю. А вы пока можете делать анализ рисков.