1. Kapsam ve yetkilendirme
Kurum, değerlendirmeye dahil edilecek alan adlarını ve açık sunucuları belirler. Kullanılabilir tarama başlamadan önce sahiplik ve tarama yetkisi çalışma alanında doğrulanır. Keşfedilen bir ad, sahipliği doğrulanana kadar yalnızca envanter ipucudur.
2. Gözlem ve kanıt
Kontroller seçilen açık yüzeyi gözlemler. Rapor, bulguyu etkilenen varlık, mevcut kanıt ve gözlem zamanı ile ilişkilendirir. Çalışma alanındaki hassas veriler herkese açık pazarlama sitesinde yayımlanmaz.
3. Önem derecesi ve bağlam
Önem derecesi iş listesini sıralar fakat doğrulamanın yerini almaz. Varlığın amacı, erişilebilirlik, mevcut korumalar, maruz kalma süresi ve iş etkisi iyileştirme kararını belirler.
4. Kapsam ve sınırlamalar
Tamamlanan, başarısız olan, kullanılamayan ve uygulanamayan kontroller ayrıştırılır. Sonuç alınamaması temiz sonuç gibi gösterilmez. Hizmet sertifika, tüm açıkların bulunacağı garantisi veya kapsamlı sızma testinin yerine geçen bir ürün değildir.
5. İyileştirme ve yeniden test
Sorumlu ekip bulguyu doğrular, değişikliği planlar, servis işlevini test eder ve ilgili değerlendirmeyi tekrarlar. Kabul edilen risk ve istisnalara bir sahip ve yeniden inceleme tarihi atanmalıdır.