Documentar y verificar controles de seguridad funcionales; líneas base

Poner un control en marcha es solo la mitad del trabajo. Un SSCP también debe documentar lo que se supone que hace el control y verificar que realmente lo haga. Los controles se desvían con el tiempo: alguien agrega una excepción al firewall, un servicio se reinstala con la configuración predeterminada, un agente de registros deja de enviar datos. La documentación y la verificación detectan esa desviación antes de que lo haga un atacante.