Από την άποψη αυτή , οι οργανισμοί πρέπει συνεχώς ( 1 ) να εξερευνούν και να αξιολογούν τους κινδύνους για την ασφάλεια των πληροφοριών στις επιχειρηματικές δραστηριότητες , ( 2 ) να καθορίζουν ποιες πολιτικές , πρότυπα και ελέγχους αξίζουν την εφαρμογή για τη μείωση αυτών των κινδύνων , ( 3 ) προώθηση της και κατανόηση μεταξύ των διαχειριστών προγραμμάτων , των χρηστών υπολογιστών και του προσωπικού ανάπτυξης συστημάτων , και
Οι οργανισμοί πρέπει να βρουν τρόπους για τη μείωση αυτών των κινδύνων , είτε με την εφαρμογή κάποιου είδους πολιτικών , με την προώθηση της ευαισθητοποίησης και με την αξιολόγηση των κινδύνων ασφάλειας που υπάρχουν στις επιχειρηματικές τους δραστηριότητες .