A definir uma política do SGSI nos termos das características do negócio, a organização,sua localização, ativos e tecnologia.
B executar procedimentos de monitoração e análise crítica e outros controles para prontamente detectar erros nos resultados de processamento.
C atualizar os planos de segurança da informação para levar em consideração os resultados das atividades de monitoramento e análise crítica.
D formular um plano de tratamento de riscos que identifique a ação de gestão apropriada, recursos, responsabilidades e prioridades para a gestão dos riscos de segurança.
E aplicar as lições aprendidas de experiências de segurança da informação de outras organizações e aquelas da própria organização.