NIST SP 800-30

Compuesta por 9 lineamientos básicos para analizar el riesgo:

1. Caracterización del sistema.
2. Identificación de amenazas.
3. Identificación de vulnerabilidades.
4. Control de análisis.
5. Determinación del riesgo.
6. Análisis de impacto.
7. Determinación del riesgo.
8. Recomendaciones de control.
9. Resultado de la implementación o documentación.

Esta metodología propone inicialmente la caracterización del sistema, esto comprende la visión del entorno del sistema de información así como un inventario de activos. Se plantea la recolección de un listado de amenazas que podrían explotar las vulnerabilidades del sistema, un listado de vulnerabilidades relacionadas a los activos, y un listado de controles.