gruppene fokuserte sin innsats på å øke alle forståelse av risikoene forbundet med organisasjonens informasjon og de relaterte politikk og kontroller på plass for å redusere disse risikoene
gruppene ønsket å gjøre risikoen mer kjent og fremme måter å bekjempe dem på
det ble besluttet at gruppene ikke kunne påvirke bevisstheten om risiko, så i stedet fokuserte de på å redusere risiko direkte