Анализ потенциально уязвимых информационных объектов.
Выявление угроз для значимых информационных объектов и оценку соответствующих рисков.
Определение минимального набора средств защиты информации.
Оценку субъективного отношения к рискам организации ее руководства.