A Definir como medir a eficácia dos controles ou grupos de controles selecionados, e especificar como estas medidas devem ser usadas.
B Implementar o plano de tratamento de riscos para alcançar os objetivos de controle identificados.
C Medir a eficácia dos controles para verificar que os requisitos de segurança da informação foram atendidos.
D Selecionar objetivos de controle e controles para o tratamento de riscos.
E Realizar análises críticas regulares da eficácia do SGSI.