A A análise crítica de questões de segurança da informação deve ser feita conforme se identifique a necessidade.
B Os objetivos de segurança da informação devem ser contemplados nos do projeto.
C A avaliação dos riscos de segurança da informação deve ser conduzida na fase de testes de projeto.
D A segurança da informação deve estar presente no projeto pelo menos a partir da sua fase de implementação.
E As responsabilidades pela segurança da informação devem ser difundidas por todos os participantes do projeto.