只要一個機構遵循了在第2章中略述的有關SecSDLC,以及第7和第8章描述的風險管理過程,它就已經能夠識別自己所面對的風險并能夠為風險劃BIA先級別。這些機構只需要更新威脅列表和加入攻擊簡報的信息,就可以進行BIA。