Ci si basa sulla definizione da parte dei tecnici dei beni importanti, dei rischi ad essi legati, l'attuale PP e l'eventuale gap col ST. Sulla mappa dei beni secondo l'impresa, definita dal paragrafo 2.5.1 dalla mappa dei rischi definita dal paragrafo 2.5.2, sul ST definito nel paragrafo 2.5.3, sul rapporto del ST definito dal precedente paragrafo.
Si ottiene la lista dei requisiti nei confronti della riservatezza, integrità e disponibilità dei beni.