organisasjonene hadde tatt skritt for å sikre at personell som var involvert i ulike aspekter av deres informasjonssikkerhet programmer hadde de ferdigheter og kunnskaper de trengte
organisasjonene ansatte personell for sine informasjonssikkerhet programmer
organisasjonene ansatte ikke folk for deres informasjonssikkerhet programmer