इस संबंध में, एजेंसियों को लगातार (1) व्यावसायिक संचालन के लिए सूचना सुरक्षा जोखिमों का पता लगाना और आकलन करना चाहिए, (2) इन जोखिमों को कम करने के लिए लागू करने के लिए कौन सी नीतियां, मानक और नियंत्रण निर्धारित करना चाहिए, (3) कार्यक्रम प्रबंधकों, कंप्यूटर उपयोगकर्ताओं और सिस्टम विकास कर्मचारियों के बीच जागरूकता और समझ को बढ़ावा देना चाहिए, और
व्यापार संचालन के लिए कोई जोखिम नहीं है, इसलिए उन्हें आजमाने या नियंत्रित करने का कोई कारण नहीं है।