DREAD
Модель оценки риска угроз: Damage, Reproducibility, Exploitability, Affected users, Discoverability. По каждому измерению ставят оценку от 1 до 10, среднее — уровень риска. Microsoft отказалась от неё в 2010 году, но ею всё ещё пользуются.
Критика: оценки субъективны, поэтому разные аналитики могут оценить одну и ту же угрозу совершенно по-разному. Microsoft перешла к оценке в духе CVSS. Современные альтернативы: CVSS (стандарт NIST, после обнаружения), EPSS (вероятность эксплуатации уязвимости) и KEV (каталог эксплуатируемых уязвимостей CISA).
DREAD жив во внутреннем моделировании угроз, где CVSS кажется слишком формальным. На воркшопах совместная оценка по DREAD быстро даёт приоритеты, даже несмотря на субъективность.