Xác định các tài sản thông tin và yêu cầu bảo vệ đối với các tài sản này về tính bảo mật, tính toàn vẹn và độ khả dụng.

Phân tích rủi ro: Phân loại theo hệ thống các lỗ hổng, mối đe dọa và xác suất xảy ra.

Quản lý rủi ro bằng cách lựa chọn một trong các phương án sau: phòng tránh, giảm thiểu hoặc chấp nhận rủi ro.