2、其次根據收集到的標準和框架，制定壹份詳細的評估清單。清單包括需要評估的控制項、要求和指標，以及對應的評估方法和標準。
3、然後確定評估的流程和時間計劃，分析清單中的每個控制項，確定評估的方法和技術，安排評估的時間，確保評估能夠覆蓋到整個信息安全系統。
4、然後明確評估的責任和任務分配，確保評估的執行和監督，依據制定的清單，執行評估工作，檢查每個控制項是否符合要求，記錄評估結果和問題。
5、然後對評估的結果進行分析，並匯總成評估報告。報告包括評估的目的、方法、結果，根據評估的結果，制定改進計劃，並實施信息安全措施。
6、最後對實施的改進措施進行監督和追蹤，確保措施的有效性和持續改進。