Về vấn đề này, các cơ quan phải liên tục (1) khám phá và đánh giá rủi ro bảo mật thông tin đối với hoạt động kinh doanh, (2) xác định những chính sách, tiêu chuẩn và biện pháp kiểm soát nào đáng thực hiện để giảm thiểu những rủi ro này, (3) nâng cao nhận thức và hiểu biết của những người quản lý chương trình, người dùng máy tính và nhân viên phát triển hệ thống, và
Các cơ quan phải tìm cách giảm thiểu những rủi ro này bằng cách thực hiện một số loại chính sách, nâng cao nhận thức và đánh giá các rủi ro bảo mật hiện có trong hoạt động kinh doanh của họ.