Zapisz pomiar bazowy i pożądany poziom dla każdego systemu krytycznego. Następnie zmierz konkretne właściwości, takie jak udział znanych stron łańcucha, przetestowany eksport danych, klucze zarządzane przez klienta, odzyskiwanie bez dostawcy, otwarte interfejsy i czas potrzebny na zmianę.
Zgłaszaj także pozostałe zależności i zaakceptowane ryzyko. Postęp nie oznacza, że znikają wszelkie zależności, ale że organizacja zyskuje większy wgląd, swobodę wyboru i widoczne pole do działania.