定义PP或ST的第一步是确定“安全环境”。 这意味着您必须考虑物理环境（攻击者可以访问计算机硬件吗？），需要保护的资产（文件、数据库、授权凭证等等），以及TOE的用途（它是什么类型的产品？预期用途是什么？）。
在开发PP或ST时，您最终会得到一份假设声明（谁是受信任的？网络或平台是良性的吗？），威胁（系统或其环境必须应对的），以及组织安全策略（系统或其环境必须满足的）。 威胁的特征在于威胁主体（谁可能执行攻击？），推测的攻击方法，作为攻击基础的任何漏洞，以及正在受到攻击的资产。
然后，您需要为系统和环境定义一组安全目标，并表明这些目标可以应对威胁并满足策略。 即使您不创建PP或ST，思考您的假设、威胁和可能的策略也可以帮助您避免愚蠢的决定。 例如，如果您使用的计算机网络可以被嗅探（例如，互联网），那么在大多数情况下，未加密的密码是一个愚蠢的想法。
对于CC，然后您需要确定TOE将满足的功能和保证要求，以及环境将满足哪些要求，以实现这些安全目标。 这些要求将从CC可能要求的“中文菜单”中选择，接下来的章节将简要描述主要的要求类别。 在CC中，要求被分组为类，类被细分为族，族又被进一步细分为组件；所有这些的详细信息都在CC本身中，如果您需要了解这些。 CC第1部分图4.5中有一个很好的图表显示了这是如何工作的，我无法在此处重现。
再次，即使您不打算让您的产品接受CC评估，简要确定此类信息并在文档中非正式地写入包含该信息（例如，man页面或您的任何文档）仍然是好的。