이와 관련하여 기관은 (1) 사업 운영에 대한 정보 보안 위험을 지속적으로 탐색하고 평가해야 하며, (2) 이러한 위험을 줄이기 위해 어떤 정책, 기준 및 통제가 실행될 가치가 있는지를 결정해야 하며, (3) 프로그램 관리자, 컴퓨터 사용자 및 시스템 개발 직원 간의 인식 및 이해를 촉진해야 한다.
기관들은 어떤 종류의 정책을 시행하고, 인식을 촉진하고, 그들의 사업 운영에 존재하는 보안 위험을 평가함으로써 이러한 위험을 줄일 수 있는 방법을 찾아야 한다.