六、安保策略
安保策略是定義系統(tǒng)、組織或其他實體安全意味著什么。對于一個組織，它要約束成員的行為，以及用機制約束黑客的入侵，諸如使用門、鎖、墻等設(shè)施。對于系統(tǒng)，安保策略要約束功能和數(shù)據(jù)流，約束外部系統(tǒng)和黑客的訪問，包括對人員或應(yīng)用程序和數(shù)據(jù)訪問。
安保策略由組織的高級管理層或選出的委員會來定義。安保策略可以由組織按要求對特定功能或系統(tǒng)進行裁剪。安保項目應(yīng)該包括安保策略、標準、指南、基線、程序、安保基礎(chǔ)培訓(xùn)、事故響應(yīng)計劃和法規(guī)遵從。這些內(nèi)容在ISO/IEC 27000系列標準中描述，美國能源部提供了可以實施的細節(jié)。
七、危險評估
危險評估包括分析資產(chǎn)，確定信息和資產(chǎn)的價值, 確定漏洞和潛在危險（威脅），威脅降低方法，決定可以接受、避免或轉(zhuǎn)移的危險。這項行動由危險分析團隊執(zhí)行。危險評估過程包括執(zhí)行評估程序，分析及評定危險結(jié)果。危險評估應(yīng)用于信息、通信和電力。在這個周期，應(yīng)該確定關(guān)鍵資產(chǎn)。
危險評估必須考慮對安保系統(tǒng)的影響。比如在一個系統(tǒng)中的危險可能是：
?安全危險可能導(dǎo)致生命損失，人員傷害，或環(huán)境破壞。
?任務(wù)危險可能導(dǎo)致這個系統(tǒng)的癱瘓，諸如關(guān)鍵基礎(chǔ)設(shè)施或數(shù)據(jù)的損失。
?商業(yè)危險可能導(dǎo)致重大經(jīng)濟損失，諸如商業(yè)或聲譽的損失。
?安保危險可能導(dǎo)致敏感數(shù)據(jù)的損失。
八、建立危險分析團隊
危險分析團隊必須包括組織關(guān)鍵區(qū)域中的人員諸如管理人員，工程人員，安保專家，過程控制工程師，信息技術(shù)（IT）規(guī)劃師，應(yīng)用分析師，程序設(shè)計師。危險分析團隊成員必須是每個行業(yè)里的專家，了解過程、商業(yè)對象、工程原理、技術(shù)和法規(guī)。
九、信息和資產(chǎn)的價值
信息的價值決定了安保的方法。在評估信息的價值時，同樣的邏輯可用于資產(chǎn)，諸如設(shè)施，系統(tǒng)，服務(wù)，資源，供給和人員。為了評估什么是危險，必須評估什么是財產(chǎn)。信息和資產(chǎn)都應(yīng)該有給予它數(shù)量和質(zhì)量的測量。
實際價值由它的獲得、開發(fā)和維護的成本所決定。對于所有者，授權(quán)用戶和非授權(quán)用戶的重要性決定了資產(chǎn)的價值。資產(chǎn)可以是有形的（計算機、設(shè)備、網(wǎng)絡(luò)、系統(tǒng)、設(shè)施、供給）或者是無形的（聲譽、數(shù)據(jù)、知識產(chǎn)權(quán)）。
十、確定威脅
威脅評估是一個非常具體的行為，在有些情況下，這是一項困難的任務(wù)。
威脅可以分成人為（有意或無意）和自然災(zāi)害。很多類型的威脅來源于多種漏洞，從而導(dǎo)致多種特定的威脅。一旦威脅是針對某種應(yīng)用、系統(tǒng)、業(yè)務(wù)單位或組織, 必須查清相關(guān)的漏洞，找到解決的辦法。
十一、確定漏洞
漏洞是一個用來攻擊的潛在通道，是連接內(nèi)部或外部代理，可能導(dǎo)致安保失效的系統(tǒng)屬性或環(huán)境。發(fā)現(xiàn)漏洞并不那么容易，需要一定的技能水平。當發(fā)現(xiàn)特定的漏洞時，需要找出所有針對組織的進入點，找出訪問信息（來自電子和物理）點，諸如：
- 因特網(wǎng)連接；
- 遠程訪問點；
- 與其他組織的連接；
- 物理訪問設(shè)施；
- 用戶訪問點；
- 無線訪問點。
失效模式和影響分析是一種用于決定漏洞位置以及查出路徑的方法。這種方法支持決定功能、確定功能失效、評估失效原因和對結(jié)構(gòu)化過程的影響。這是一個系統(tǒng)工程方法，近來用于評估危險管理的優(yōu)先級和減輕已知漏洞的威脅。
