应用控制策略,组织需求,合规性要求,技术手段,员工教育,安全评估