"Kuhusu hili, mashirika lazima daima (1) kuchunguza na kutathmini hatari za usalama wa habari kwa shughuli za biashara, (2) kuamua ni sera gani, viwango, na udhibiti unaofaa kutekelezwa ili kupunguza hatari hizi, (3) kukuza ufahamu na uelewa kati ya wasimamizi wa programu, watumiaji wa kompyuta, na wafanyakazi wa maendeleo ya mifumo."""
Wakala lazima kupata njia ya kupunguza hatari hizi, ama kwa kutekeleza aina fulani ya sera, kwa kukuza ufahamu na kwa kutathmini hatari za usalama zilizopo katika shughuli zao za biashara.