Som med alle typer virksomheter bør informasjonssikkerhet overvåkes og vurderes på nytt med jevne mellomrom for å sikre at politikken fortsatt er hensiktsmessig og at kontrollene oppfyller sitt tiltenkte formål.
En god praksis er å revidere hver politikk hvert tredje år.