לפני ביקורת, בדקו שההנהלה והצוות הטכנולוגי מתארים את אותה מציאות. נוהל מועיל כשאנשים יודעים איך הוא נוגע לעבודה שלהם ויכולים להראות מה קורה בפועל.
עוברים על הבקרות החשובות
לכל בקרה מגדירים אחראי, תדירות ודוגמה עדכנית להפעלה שלה. סקירות הרשאות, בדיקות גיבוי, החלטות על ספקים ושינויים צריכים להשאיר ראיות שקל למצוא ולעקוב אחריהן.
בודקים גם את חלקה של ההנהלה
ודאו שסקר הסיכונים, מדיניות האבטחה, היעדים והחלטות ההנהלה מעודכנים. היו מוכנים להסביר למה סיכון התקבל או למה נבחר טיפול מסוים, מה עדיין פתוח ומי אחראי להמשך. הסבר עקבי שמגובה בראיות מועיל יותר מאוסף מסמכים שאינם מתחברים.