En este sentido, las agencias deben (1) explorar y evaluar continuamente los riesgos de seguridad de la información para las operaciones comerciales, (2) determinar qué políticas, estándares y controles vale la pena implementar para reducir estos riesgos, (3) promover la conciencia y la comprensión entre los administradores de programas, los usuarios de computadoras y el personal de desarrollo de sistemas, y
Las agencias tienen que encontrar formas de reducir estos riesgos, ya sea implementando algún tipo de políticas, promoviendo la conciencia y evaluando los riesgos de seguridad presentes en sus operaciones comerciales.