組織内の情報資産を洗い出し、それぞれの情報資産に対して資産価値、脅威、脆弱性及びセキュリティ要件を識別し、リスクを評価する手法。精度の良い分析結果が得られるが、実施には手間がかかる。