Avdekking av sårbarheter, identifisering av trusler, og vurderinger av sannsynlighet og konsekvens, kan gjennomføres med utgangspunkt i scenarioer som beskriver relevante uønskede hendelser som kan påvirke:

  • fysiske forhold – urettmessig (uautorisert) adgang til skjermingsverdige verdier, eksempelvis gjennom adgang til fysisk arkiv uten tjenstlig behov
  • elektroniske forhold – Inntrengning gjennom elektroniske grensesnitt eller elektromagnetisk avlesning eller påvirkning, eksempelvis gjennom datainntrengning
  • menneskelige forhold – Påvirkning av personell i roller med betydning for sikkerhet, eksempelvis gjennom sosial manipulering
  • organisatoriske forhold – utnyttelse av svakheter i sikkerhetsorganisering, eksempelvis mangelfulle rutiner for varsling av uønskede hendelser