一套完整的文件與儲存媒體控制的稽核項目應包括：

u 資訊備份控制與稽核：應提供足夠的備份設施，將重要營運資訊和軟體 定期備份數個副本，以確保災難或儲存媒體失效後能復原所有重要營運資訊和軟體，並且定期測試各個系統的備份作業，以確保符合營運持續計畫的要求。應考慮下列控制措施：

1. 將最低程度的備份資訊、正確完整的備份副本記錄及文件化的 復原程序儲存在其他地點，兩地距離須足以避免主要場所發生災難時遭波及，重要的營運應用程式應保留至少三代或三個周期的備份資訊。

2. 備份資訊應給予適切等級的實體和環境保護，並與主要場所使用的標準一致，也就是主要場所應用的控制措施應延伸到備份作業場所。

3. 定期測試備份媒體，以確保在需緊急使用時足供依賴。

4. 定期檢查與測試復原程序，以確保有效且能夠在回復作業程序配置的時間內完成。

5. 決定重要營運資訊的保存期間，以及任何需永久保留的封存副本要求。

u 資訊處置程序控制與稽核：為保護資訊不受未授權揭露或誤用，應建立資訊處理和儲存程序，並制訂與資訊分級一致性的程序，處理包括文件、電腦系統、網路、行動式電腦作業、行動通訊、郵件、語音信箱、一般語音通訊、多媒體、郵寄服務與設施、傳真機的使用和其他任何敏感項目（例如空白支票、發票等）的資訊。

u 系統文件安全之控制與稽核：系統文件包含許多敏感資訊，例如對應用程式處理、程序、資料結構和授權作業等各項說明，應考慮系統文件應安全存放且系統文件的存取清單應讓最少人取得，且需經應用程式所有人授權等控制措施以保護系統文件不受未經授權之存取。

u 明確的儲存與顯示政策：一個安全的企業應明確地制訂資訊儲存(例如：紙本、可移除的儲存媒介)和顯示的政策。一個明確的儲存與顯示的政策，能夠減少未經授權的存取風險、資訊的遺失與損壞等。除此之外，也必須保護這些儲存的資訊，以免受到天然災害的損壞(例如：火災，地震、水災等)。故一個明確的儲存與顯示的政策應考慮到資訊的類別、法令與契約上的需求、相關的風險，以及組織文化等因素。

2