A A declaração de aplicabilidade deve conter os controles necessários e a justificativa para inclusões.
B Todos os riscos devem ser completamente eliminados após a implementação de controles adequados.
C As organizações devem definir e aplicar um processo de tratamento dos riscos de segurança da informação.
D As organizações podem projetar os controles conforme requerido ou identificá-los de qualquer outra fonte.