DREAD
Modèle de notation du risque pour les menaces de sécurité : Damage, Reproducibility, Exploitability, Affected users, Discoverability. Une note de 1 à 10 par dimension, la moyenne donne le risque. Créé chez Microsoft, abandonné par Microsoft en 2010, mais toujours utilisé.
Critique : des notes subjectives → une même menace peut être évaluée de façons très différentes selon l'analyste. Microsoft a abandonné DREAD au profit d'une notation de type CVSS. Alternatives modernes : CVSS (norme du NIST, après découverte), EPSS (Exploit Prediction Scoring System — la probabilité qu'une menace soit exploitée), KEV (Known Exploited Vulnerabilities, le catalogue de la CISA). DREAD survit dans la modélisation interne des menaces, là où CVSS paraît trop formel. En atelier, faire noter les menaces en groupe donne une priorisation rapide, malgré la subjectivité.