1. Inwentaryzacja i zależności
Najpierw trzeba wiedzieć, jakie serwery, urządzenia, aplikacje i konta istnieją oraz które procesy biznesowe od nich zależą. Bez tego nie da się wiarygodnie ocenić wpływu awarii.
2. Ekspozycja i dostęp
Przegląd publicznych usług, reguł firewalla, VPN, kont uprzywilejowanych, metod uwierzytelniania i dostępu podmiotów zewnętrznych.
3. Utrzymanie i odporność
Aktualizacje, wspierane wersje, monitoring, kopie zapasowe, testy odtworzenia, dokumentacja i pojedyncze punkty awarii.
4. Raport, który da się wykonać
Każde istotne ryzyko powinno mieć opis wpływu, priorytet, zalecane działanie oraz zależności. Krytyczne poprawki należy oddzielić od zmian rozwojowych.
Automatyczny skan może być elementem audytu, ale nie zastąpi rozmowy, analizy architektury i sprawdzenia procesów odtwarzania.