A não há necessidade de monitoração dos riscos durante a utilização de um sistema de informação.
B devem ser qualificados e quantificados todos os riscos como tendo o mesmo nível de segurança.
C a ação de transferência do risco corresponde a reduzir seu nível de impacto.
D as informações sobre os riscos devem ser compartilhadas entre o tomador de decisões e as partes interessadas.
E a ação de identificação de vulnerabilidades corresponde a um desligamento geral do sistema de informação sob ameaça.