اعرف نقاط الضعف.وحدّد أولويات الحماية.

نحدّد الموقع والوظائف والبيئة المعنية والصلاحيات المتاحة. تُجرى المراجعة فقط على الأنظمة التي تملك حق التصريح بفحصها.

تشمل المراجعة، بحسب النطاق، الإعدادات والوصول والنماذج والتحديثات وحماية البيانات. لا تُنفّذ اختبارات قد تؤثر في الخدمة خارج ما تم الاتفاق عليه.

تحصل على تقرير بالأدلة المتاحة، وشرح للمخاطر، وترتيب للتصحيحات. يمكن الاتفاق على المساعدة في التنفيذ ثم إعادة التحقق.

التدقيق يصف الحالة التي أمكن فحصها في وقت محدّد؛ ولا يعني ضمان خلو الموقع من كل ثغرة مستقبلية.