Recursos protegidos pela política, ameaças às quais esses recursos estão sujeitos e vulnerabilidades que podem viabilizar a concretização dessas ameaças, analisando-as individualmente.

Ferramentas de antivírus e antispyware a serem utilizadas pela empresa; pontos críticos de acesso a informações e sistemas operacionais que estão instalados nas estações de trabalho.

Requisitos para formação de senhas; identificação dos usuários dos sistemas e controle de acesso a hardware.

Identificação de sistemas de alto impacto; identificação dos sistemas de segurança usados e levantamento das medidas de prevenção de ameaças.