A modificações em pacotes desoftwaredevem ser encorajadas e não devem estar limitadas apenas às mudanças necessárias, porém, todas as mudanças devem ser documentadas.
B mudanças em sistemas dentro do ciclo de vida de desenvolvimento devem ser controladas por procedimentos informais de controle de mudanças.
C a organização não deve contratar empresas terceirizadas para realizar atividades de desenvolvimento de sistemas de informação.
D testes de funcionalidade de segurança devem ser realizados somente quando o sistema estiver pronto.
E programas de testes de aceitação e critérios relacionados devem ser estabelecidos para novos sistemas de informação, atualizações e novas versões.