A É a frequência com que uma ameaça explora uma vulnerabilidade com sucesso.
B É o grau de exposição de um ativo a acessos não autorizados, medido tecnicamente.
C É a possibilidade de ocorrência de um incidente que afete a confidencialidade, integridade ou disponibilidade das informações.
D É o número de vulnerabilidades técnicas encontradas em um sistema durante uma auditoria.
E É a estimativa das consequências negativas resultantes da concretização de um risco de segurança da informação.