i denne forbindelse må byråene kontinuerlig (1) utforske og vurdere informasjonssikkerhetsrisikoer for bedriftsdriftene, (2) bestemme hvilke retningslinjer, standarder og kontroller som er verdt å gjennomføre for å redusere disse risikoene, (3) fremme bevissthet og forståelse blant programledere, datanvändere og systemutviklingspersonell, og
agenturer må finne måter å redusere disse risikoene på, enten ved å gjennomføre en eller annen form for politikk, ved å fremme bevissthet og ved å vurdere sikkerhetsrisikoene i deres virksomhet
det er ingen risiko for forretningsdrift, så ingen grunn til å prøve å vurdere eller kontrollere dem