Если ресурсов несколько, то подсчёт ведётся для каждого ресурса по отдельности. Значение общего уровня угрозы получим в интервале от 0 до 1. Риск по ресурсу R рассчитывается следующим образом для одного ресурса:
Если ресурсов несколько, то подсчёт рисков ведётся для каждого ресурса по отдельности. В случае угрозы доступность (отказ в обслуживании) критичность ресурса в год вычисляется по следующей формуле:
Для остальных угроз критичность ресурса задается в год. Риск по информационной системе CR для режима с одной базовой угрозой рассчитывается по формуле в деньгах:
Для режима работы в уровнях воспользуемся следующей формулой:
