情報セキュリティ上の侵害によって、ステークホルダーが損害を被る惧れのあるシステム要素（=守るべきもの）です。開発対象のユースケースや現時点で参照可能な設計情報からシステム構造を整理し、保護すべき情報（データ）資産や機能（処理）資産をリストアップすることが情報セキュリティ脅威分析とリスクアセスメントの出発点となります。