Análisis de Riesgos, procediendo a inventariar los activos del SI, el valor que tienen, las amenazas y calcular el impacto y el riesgo. Gestión de Riesgos, lo que conllevaría el análisis anterior (AR), y partiendo de él, considerar las salvaguardas y calcular el impacto y el riesgo residual.
