A analisa apenas atos intencionais que possam produzir violações de segurança;
B trata apenas fragilidades em ativos de informação, as chamadas ameaças;
C considera somente consequências negativas (perdas);
D procura eliminar uma atividade ou processo através da mudança na forma de sua ocorrência;
E compara o risco estimado com critérios de risco predefinidos para determinar a sua importância.