A os requisitos de auditoria para acesso aos sistemas devem ser definidos pelo proprietário do risco do ativo;
B os testes de auditoria devem possuir acessos de leitura e escrita para validar as ações realizadas nos softwares e nos dados no ambiente de produção;
C os testes de auditoria devem ser realizados durante o horário de expediente para refletir o comportamento real do sistema;
D os acessos devem ser monitorados e registrados para produzir uma trilha de referência;
E um prazo deve ser definido para a reação a notificações de potenciais vulnerabilidades técnicas relevantes.