先釐清評估對象，再拆解工作項目。
產品安全功能、安全開發流程與組織資訊安全制度，各自需要不同的證據與驗證方式。專案啟始階段先確認產品版本、系統邊界、適用要求及交付對象，再建立工作計畫。
把差距連到實作與證據。
檢視現況、威脅分析或風險評鑑，識別與目標要求的差距；依工作計畫導入流程與控制，整理實作證據、驗證結果及審查報告。
平台協作與專業審閱分別規劃。
需要管理軟體物料與弱點資訊時，可搭配 DAFA 與 PVM；需要集中合規問卷、佐證文件及審閱進度時，可評估 RegGO。平台功能與顧問服務的使用範圍，依方案及專案內容確認。
