Som med alle typer virksomheter bør informasjonssikkerhet overvåkes og vurderes på nytt med jevne mellomrom for å sikre at politikken fortsatt er hensiktsmessig og at kontrollene oppfyller sitt tiltenkte formål.
Når de er etablert, forblir informasjonssikkerhet policyer gyldige.