A priorizada de acordo com os objetivos do negócio e com os cenários de incidentes.
B associada a cada ativo, processo de negócio ou processo de TI.
C categorizada e priorizada a partir da análise crítica dos incidentes ocorridos.
D com níveis de valores designados e critérios para a avaliação de riscos.
E e cenários de incidentes com suas consequências associadas aos ativos e processos de negócio.