이와 관련하여 기관은 (1) 사업 운영에 대한 정보 보안 위험을 지속적으로 탐색하고 평가해야 하며, (2) 이러한 위험을 줄이기 위해 어떤 정책, 기준 및 통제가 실행될 가치가 있는지를 결정해야 하며, (3) 프로그램 관리자, 컴퓨터 사용자 및 시스템 개발 직원 간의 인식 및 이해를 촉진해야 한다.
위험을 100% 통제할 수 있는 실질적인 방법은 없지만 위험을 줄이는 데 도움이 되는 방법은 항상 있을 것이다.