ใช้วิธีการเก็บหลักฐานสำหรับตรวจสอบการควบคุมแต่ละข้อได้ตามความเหมาะสม โดยคำนึงถึงการสรุปผลการประเมินอย่างสมเหตุสมผล (reasonable assurance) โดยใช้ทรัพยากรด้านการตรวจสอบที่อาจมีอยู่อย่างจำกัดได้อย่างมี
ระดับสูง (chief information security officer : CISO) หรือผู้บริหาร ที่รับผิดชอบใน การ บริหารจัดการความมั่นคงปลอดภัยด้าน IT อย่างน้อย 1 ท่าน โดยมีคุณสมบัติ ขอบเขตอำนาจ และหน้าที่อย่างน้อย ดังนี้ (1) มีความ