A A medição da eficácia dos controles permite que gestores e equipe determinem o quanto esses controles alcançaram satisfatoriamente os objetivos planejados. Essa medição, assim como implementar programas de conscientização e treinamento, deve ser realizada na faseCheck— monitorar e analisar criticamente o SGSI.
B Assegurar que as melhorias atinjam os objetivos pretendidos bem como ajudar a detectar eventos de segurança da informação fazem parte da fase Check — monitorar e analisar criticamente o SGSI.
C A declaração de aplicabilidade documentada que descreve tanto os objetivos de controle como os controles que são pertinentes ao SGSI da organização deve fazer parte do planejamento geral do SGSI; no entanto, como medida de segurança, essa declaração não deve ser incluída na documentação do SGSI.
D Ao estabelecer um SGSI, as organizações devem definir uma política específica para esse sistema nos termos das características do negócio. Essa política, por sua vez, é considerada o documento maior da política de segurança da informação das organizações
E Elicitar e identificar riscos fazem parte da fase Plan — estabelecer o SGSI —, ao passo que analisar e avaliar os riscos devem ser realizados na fase Do — implementar e operar o SGSI.