A Não há previsão de controles para responsabilidades e procedimentos de gestão.
B A coleta de evidências deve ocorrer após um incidente de segurança envolver uma ação legal.
C Os eventos de segurança de informação devem ser relatados apenas quando confirmados, para evitar falsos positivos.
D Está subdividida em três objetivos de controle.
E Não se preocupa com os custos dos incidentes de segurança, que são tratados apenas na norma ISO/IEC 27001.