A preparar um plano diretor de tecnologia da informação;
B obter da alta gestão a aprovação dos riscos do plano de tratamento de riscos;
C elaborar uma declaração de aplicabilidade que contenha os controles avançados de segurança da informação;
D determinar os controles que são necessários para implementar as opções escolhidas do tratamento de riscos de segurança da informação;
E selecionar, de forma apropriada, as opções de tratamento dos riscos da segurança da informação levando em consideração os requisitos da alta gestão.