A、确认要经检查的技术的特征（aspects）、风险、流程和事务处理。

B、确定测试的范围和程度，以便实现业务目标。

C、定期评估信息安全实务。

D、记录业务程序。