Về vấn đề này, các cơ quan phải liên tục (1) khám phá và đánh giá rủi ro bảo mật thông tin đối với hoạt động kinh doanh, (2) xác định những chính sách, tiêu chuẩn và biện pháp kiểm soát nào đáng thực hiện để giảm thiểu những rủi ro này, (3) nâng cao nhận thức và hiểu biết của những người quản lý chương trình, người dùng máy tính và nhân viên phát triển hệ thống, và
Không có rủi ro đối với hoạt động kinh doanh, vì vậy không có lý do gì để thử đánh giá hoặc kiểm soát chúng.