Về vấn đề này, các cơ quan phải liên tục (1) khám phá và đánh giá rủi ro bảo mật thông tin đối với hoạt động kinh doanh, (2) xác định những chính sách, tiêu chuẩn và biện pháp kiểm soát nào đáng thực hiện để giảm thiểu những rủi ro này, (3) nâng cao nhận thức và hiểu biết của những người quản lý chương trình, người dùng máy tính và nhân viên phát triển hệ thống, và
Không có cách nào thực sự có thể kiểm soát rủi ro 100% nhưng sẽ luôn có cách giúp giảm thiểu chúng.