Il permet d’évaluer les failles dans le système de sécurité et identifie les vulnérabilités des réseaux informatiques, des politiques de sécurité utilisées ou encore dans le comportement des utilisateurs. Suite à cette première étape, il fournit des recommandations adaptées pour augmenter le niveau de protection tout en priorisant les actions à mettre en place.