CCTA Risk Analysis Management Methodology
CRAMMでは、資産の識別、質的技法と量的技法を併用している。これらの作業を次の3つのステージで行う。
資産の識別と評価 情報資産に対する影響と重要度に関する質問表を作成して出力し、回答からランク付けを行う
脅威・脆弱性の評価 各資産の脆弱性レベルを質的評価に関する質問表を作成し、回答から5段階のレベルで評価する。
セキュリティ対策の選択・策定 5段階のリスクレベルに応じてペリル(損失を発生させる要因)、ハザード(危険・障害)、影響の抑制、回復の見地からのセキュリティ対策のリストアップ。