Анализът на риска се извършва въз основа на:
- 1. нивото на класификация на информацията;
- 2. обема на класифицираната информация и вида на нейните носители;
- 3. броя на издадените разрешения за достъп на служителите и нивата на класификация, за които те са издадени, при спазване на принципа "необходимост да се знае";
- 4. начина на съхраняване на информацията.