•یکی از فعالیتهای کلیدی است
–هنوز به نیازمندیهای کارکردی اهمیت بیشتری داده میشود.
–ارزیابی امنیتی نیز بدون مشخص بودن نیازمندیهای امنیتی به درستی قابل انجام نیست.
•نکات کلیدی
–در نظر گرفتن سیاست امنیتی سازمان (نگرانیها و اهداف امنیتی)
–گروه بندی کاربران و داده‌ها و تعیین دسترسیها
–در نظر گرفتن تهدیدات و آسیب پذیریهای محیط و سیستمهای مرتبط
–عدم بیان مکانیزمهای امنیتی طراحی به عنوان نیازمندیها
•مثال: استفاده از شناسه‌ی کاربری و گذرواژه برای هویت‌سنجی
•تیم مایکروسافت: مدلسازی تهدید مهمترین فعالیت است.