En la figura 5 se aprecian algunas de las posibilidades que se tienen de conocer los riesgos que se presentan para los diferentes recursos de la organización.

Como se aprecia es un método bastante dispendioso, sobre todo cuando las instalaciones son de tamaño considerable.

Los formatos de calificación recogen la información de cada recurso, la importancia relativa que tiene, los tipos de usuarios asociados a situaciones indeseables, las posibles amenazas y las medidas a implantar para proteger suficientemente los activos contra esos riesgos.

Como otra forma, pero casi siempre acompañando algunos de los métodos anteriores se recurre a la opinión de expertos y a las vivencias de los usuarios del sistema, para recolectar información de los probables riesgos y los efectos a que están expuestos los procesos o corrientes de información.