En esta primera fase del ciclo se debe realizar un análisis de la situación de la institución desde el punto de vista de la seguridad de la información, para evaluar los controles que se van a implantar en función de las necesidades detectadas.
La información que se dispone en las instituciones no tiene el mismo valor y no está sometida a los mismos riesgos. Es por eso que es importante realizar un Análisis de Riesgos que valore los activos de información y vulnerabilidades a las que están expuestas. De la misma manera, es necesario el tratamiento de dichos riesgos para reducirlos en la medida de lo posible. Con el resultado obtenido en el tratamiento de los riesgos, se debe establecer los controles adecuados que permitan minimizar los riesgos.
