इस संबंध में, एजेंसियों को लगातार (1) व्यावसायिक संचालन के लिए सूचना सुरक्षा जोखिमों का पता लगाना और आकलन करना चाहिए, (2) इन जोखिमों को कम करने के लिए लागू करने के लिए कौन सी नीतियां, मानक और नियंत्रण निर्धारित करना चाहिए, (3) कार्यक्रम प्रबंधकों, कंप्यूटर उपयोगकर्ताओं और सिस्टम विकास कर्मचारियों के बीच जागरूकता और समझ को बढ़ावा देना चाहिए, और
100% जोखिम को नियंत्रित करने का कोई वास्तविक तरीका नहीं है, लेकिन उन्हें कम करने में मदद करने के लिए हमेशा तरीके होंगे।