Mudanças em sistemas e dados precisam ser autorizadas pela política de segurança institucional. Por exemplo, quando um membro da equipe de segurança institucional atribuir um novo preço a um artigo no banco de dados da empresa, outro membro dessa equipe deve verificar a validade desse preço antes de ele ser publicado.

Sempre que possível devem-se criar mecanismos que obriguem os membros da equipe de segurança institucional a usarem termos corretos e padronizados. Por exemplo, um cliente é sempre chamado de “cliente”; o termo “freguês” não pode ser utilizado na comunicação institucional.

Os procedimentos de backup de dados precisam ser estabelecidos pela política de segurança institucional e o armazenamento do backup deve ser feito em local fisicamente separado daquele onde ele foi realizado, a fim de garantir a disponibilidade dos dados nos casos de emergência.

As ações dos usuários dos sistemas são gravadas (logged) de forma que se possa ser determinado, quando necessário, quem modificou alguma informação nos sistemas da empresa.

Ações que possam ter graves consequências para a empresa, como a instalação de novo software, devem ser realizadas por, pelo menos, dois membros da equipe de tecnologia da informação.