Gruppene fokuserte sin innsats på å øke alle forståelse av risikoene forbundet med organisasjonens informasjon og de relaterte politikk og kontroller på plass for å redusere disse risikoene.
Det ble besluttet at gruppene ikke kunne påvirke bevisstheten om risiko, så i stedet fokuserte de på å redusere risiko direkte.