Qual é a maneira mais eficaz de iniciar a revisão de segurança para uma aplicação existente?

É mais simples começar com um novo aplicativo para definir a segurança, mas é mais desafiador para aplicativos existentes. Eu gostaria de saber se há diretrizes ou documentos de avaliação existentes para fazer a revisão de aplicativos legados.