一定の確保すべきセキュリティ対策のレベルを設定し、すでにあるガイドライン・規程をもとに、セキュリティレベルの到達度合いなどを調査していくアプローチ方法。
メリットとしてシステム全体のリスクを網羅的に短い時間でチェックできる。チェック内容さえ決定すれば、技術者の力量はあまり必要ない。
デメリットとしては未知のリスク、業界・業種・業能特有のリスクに対応できない。