I denne forbindelse må byråene kontinuerlig (1) utforske og vurdere informasjonssikkerhetsrisikoer for bedriftsdriftene, (2) bestemme hvilke retningslinjer, standarder og kontroller som er verdt å gjennomføre for å redusere disse risikoene, (3) fremme bevissthet og forståelse blant programledere, datanvändere og systemutviklingspersonell, og
Det er ingen risiko for forretningsdrift, så ingen grunn til å prøve å vurdere eller kontrollere dem.