Controles basados en los requisitos de seguridad del sistema; criterios de evaluación (Common Criteria)

La elección de controles debe partir de los requisitos, no de los productos. Los requisitos de seguridad de un sistema provienen de la clasificación de sus datos, su función en el negocio, las leyes y los contratos, la evaluación de riesgos y las políticas de la organización. Una vez que sabes lo que el sistema debe lograr, por ejemplo «solo los médicos autenticados pueden ver los expedientes de los pacientes y cada acceso queda registrado», seleccionas los controles que cumplen esos requisitos y después verificas que lo hagan. Partir de un producto favorito, en cambio, suele dejar requisitos reales sin cumplir mientras se gasta dinero en funciones que nadie necesitaba.