Bu bağlamda, kurumlar sürekli olarak (1) iş operasyonlarına yönelik bilgi güvenliği risklerini araştırmalı ve değerlendirmeli, (2) bu riskleri azaltmak için hangi politikaların, standartların ve denetimlerin uygulanmaya değer olduğunu belirlemelidir, (3) program yöneticileri, bilgisayar kullanıcıları ve sistemler arasında farkındalık ve anlayışı teşvik etmelidir. geliştirme personeli ve
Ajanslar, bir tür politika uygulayarak, farkındalığı teşvik ederek ve iş operasyonlarında mevcut güvenlik risklerini değerlendirerek bu riskleri azaltmanın yollarını bulmalıdır.
İş operasyonları için herhangi bir risk yoktur, bu yüzden onları eşek yapmak veya kontrol etmek için bir neden yoktur.