Возможность реализации угрозы для некоторого ресурса компании оценивается:

Привлекательностью ресурса.
Возможностью использования ресурса для получения дохода.
Вероятностью ее реализации в течение заданного отрезка времени.
Степенью легкости, с которой уязвимость может быть использована.

К сожалению, у нас пока нет статистики ответов на данный вопрос, но мы работаем над этим.