Вибрати і впровадити  відповідні засоби управління щодо неприйнятних ризиків

Контролювати, підтримувати і поліпшувати результативність засобів управління, пов'язаних з інформаційними активами організації

Визначити інформаційні активи та пов'язані з ними вимоги інформаційної безпеки

Оцінити та обробити ризики інформаційної безпеки