• определение метода, который целесообразно использовать для анализа защищённости
• построение модели угроз и нарушителя, при необходимости
• проведение автоматических и ручных проверок для отдельных типов уязвимостей (отсечение ложных срабатываний и выявление уязвимостей, которые не обнаруживаются автоматизированными средствами)
• исследование обнаруженных на предыдущем этапе уязвимостей, для подтверждения возможности их эксплуатации
• составление отчёта по результатам исследования

• описание методики проведения анализа защищённости
• модель угроз и нарушителя (опционально)
• выводы для менеджмента, содержащие оценку уровня защищённости по результатам анализа
• подробное описание обнаруженных уязвимостей и их подтверждение
• оценка вероятности эксплуатации уязвимости и критичность влияния на бизнес процессы Заказчика. 
• рекомендации по устранению выявленных уязвимостей

Зависит от количества исследуемых сервисов, служб, приложений и протоколов, а также от методики проверки.