In dit verband moeten de agentschappen voortdurend (1) informatiebeveiligingsrisico's voor bedrijfsvoering onderzoeken en beoordelen, (2) bepalen welke beleid, normen en controles het waard zijn om te implementeren om deze risico's te verminderen, (3) bewustwording en begrip bevorderen onder programmabeheerders, computergebruikers en systeemontwikkelingspersoneel, en
De agentschappen moeten manieren vinden om deze risico's te verminderen, hetzij door het implementeren van een soort beleid, het bevorderen van bewustzijn en het beoordelen van de veiligheidsrisico's die in hun bedrijfsvoering aanwezig zijn.