À cet égard , les organismes doivent continuellement ( 1 ) étudier et évaluer les risques liés à la sécurité de l' information pour les opérations commerciales , ( 2 ) déterminer quelles politiques , normes et contrôles méritent d' être mis en œuvre pour réduire ces risques , ( 3 ) promouvoir la sensibilisation et la compréhension entre les directeurs de programme , les utilisateurs d' ordinateurs et le personnel de développement des systèmes , et
Les organismes doivent trouver des moyens de réduire ces risques , soit en mettant en œuvre certaines politiques , en favorisant la sensibilisation et en évaluant les risques de sécurité présents dans leurs opérations commerciales .