Después de identificar la información crítica y analizar las amenazas, podemos empezar con el tercer paso: analizar las vulnerabilidades. Este no debe confundirse con las vulnerabilidades asociadas a la ciberseguridad. Una vulnerabilidad OPSEC existe cuando un adversario puede obtener información crítica, analizar sus hallazgos y actuar de manera que afecte a nuestros planes.
Para entender mejor una vulnerabilidad OPSEC en relación al red team, consideraremos el siguiente escenario. Usas Nmap para descubrir hosts activos en una subred objetivo y encuentras puertos abiertos. Además, mandas varios emails de phishing que llevan a la página web que hosteas. Además, estás usando el framework Metasploit para intentar explotar ciertas vulnerabilidades de software. Estas son tres actividades separadas; sin embargo, si usas la misma IP para todas, esto podría resultar en una vulnerabilidad OPSEC. Una vez que cualquier actividad maliciosa sea detectada, el blue team tomará acción y bloquearla la dirección IP temporal o permanentemente. Consecuentemente, solo tomará que una dirección IP sea interceptada y bloqueada para que todas las actividades fallen.
Otro ejemplo sería una base de datos no securizada que sea usada para almacenar información recibida de las víctimas de phishing. Si la base de datos no está debidamente securizada, puede llevar a que un tercero malicioso comprometa la operación y podría resultar en datos siendo filtrados y usados en un ataque contra la red de tu cliente. Como resultado, en lugar de ayudar a tu cliente estarías exponiendo datos críticos.