Подход совершенно правильный и используется повсеместно. Единственный затык - найти хоть где-нибудь вероятности, которые кто-нибудь определил бы :) Если найдете организацию, которая сама для себя определила вероятности реализации угроз в своей модели - респект вам и уважуха. я таких не1117082 встречал :)
