ความรู้ที่ชัดเจน เพื่อการตัดสินใจครั้งต่อไป

จุดเริ่มต้นในการทำความเข้าใจขอบเขตและสิ่งที่ควรดำเนินการก่อน

• ระบุระบบและข้อมูลที่รองรับบริการสำคัญ
• ยืนยันผู้รับผิดชอบระบบและการตัดสินใจด้านความปลอดภัย
• ทบทวนข้อค้นพบและหลักฐานจากการประเมินที่มีอยู่
• จัดลำดับจุดอ่อนและกำหนดผู้รับผิดชอบแก้ไข
• กำหนดรอบทบทวนประเด็นคงค้างและการรายงานผู้บริหาร

จัดระบบข้อกำหนด ความรับผิดชอบ และหลักฐาน

• กำหนดกระบวนการธุรกิจและระบบที่อยู่ในขอบเขต
• ระบุกรอบมาตรฐานและข้อกำหนดที่เกี่ยวข้อง
• กำหนดผู้รับผิดชอบนโยบาย การควบคุม และเอกสารประกอบ
• เปรียบเทียบสถานะปัจจุบันกับข้อกำหนดและจัดลำดับช่องว่าง
• ติดตามหลักฐาน กำหนดส่ง และความเห็นผู้ตรวจทานก่อนการประเมิน

สร้างความชัดเจนในการประสานงานเมื่อมีการแจ้งเหตุ

• ยืนยันผู้รับแจ้งและผู้ทบทวนการแจ้งเตือนด้านความปลอดภัย
• บันทึกผู้ติดต่อและช่องทางยกระดับเหตุการณ์ของระบบสำคัญ
• ตกลงความรับผิดชอบระหว่างทีมภายในและผู้ให้บริการ
• กำหนดวิธีบันทึกหลักฐาน การตัดสินใจ และการดำเนินการรับมือ
• กำหนดข้อมูลที่ผู้บริหารต้องทราบและช่องทางการสื่อสาร