各組織は、固有の状況に適切な制御を選択する前に、その特定の要求を決定するため、構造化された情報セキュリティ・リスクアセスメント・プロセスを実施することが期待されている。
特殊的控制并非强制，如:每一个组织都被要求去做一个有架构的资讯安全风险评估程序以用来在决定它的特殊需求之前去选择对于它的环境的适当的控制。