由事实确认到部署复核，每一步都有清楚的负责人和工作记录。

组织工作

在约定范围内盘点、规范化、比较和管理客户已确认信息的版本。

保留证据

记录来源、日期、状态、决定、指定入口和可见行动。

标明限制

指出未知项、访问缺失、第三方依赖和不可控制的结果。

仅按批准部署

只有在文案、入口、权限和风险确认后，才准备或提交更新。

提供准确信息

提供当前来源、已知例外和可以合法使用的证据。

指定负责人

由有权人员确认事实、限定、公开范围和变更。

提供或协调访问

处理指定入口的账户、权限、内部批准和第三方批准。

通知重要变化

当服务、身份、政策或其他重要事实改变时触发审查。

组织

政策、角色、风险和供应商

界定责任、批准、资产、风险处理、供应商审查和改进机制。

人员

加入、离开、保密和意识

按角色管理访问、培训、保密要求和离职交接。

物理

设备、工作环境和介质

在实际控制范围内处理设备、存储介质和物理访问。

技术

身份、加密、日志和恢复

按风险使用验证、最小权限、加密、监测、修补、备份和事件响应。