O processo de Diagnóstico ou Gathering  Information é realizado com a coleta de informações em três camadas:

• Pessoas
• Processos
• Tecnologia 

Esta fase é essencial para que qualquer trabalho posterior tenha o máximo de assertividade. Através de entrevistas e questionários cuidadosamente elaborados a situação atual é mapeada permitindo assim uma análise mais apurada sobre o modus operandi da empresa. O foco de todo o processo é a parte de segurança entretanto analisamos ainda uma camada de negócio para que desde o início sejam contempladas as reais metas da empresa.

Para realizar esta tarefa utilizamos como referência alguns checklists tais como:

  CERT REF Capability Areas:

Mike 2.0 da Open Methodology Framework: