segregar responsabilidades, com o objetivo de evitar risco de má utilização de sistemas, razão pela qual é importante separar o gerenciamento de certas responsabilidades ou áreas de responsabilidade, de forma que as possibilidades de modificações não autorizadas sejam reduzidas;

controlar mudanças operacionais, definindo responsabilidades gerenciais e, sempre que praticável, integrar os procedimentos de controle de mudanças de aplicações e sistemas operacionais;

separar facilidades de desenvolvimento, testes e operações, indicando um nível de separação necessário para prevenir problemas operacionais, principalmente em termo de acesso ou modificações não autorizadas;

estabelecer procedimentos para o gerenciamento de incidentes, como ação para assegurar uma resposta rápida, efetiva e ordenada aos incidentes de segurança;

documentar procedimentos operacionais de modo formal e flexível (no sentido de permitir modificações, quando necessárias e autorizadas), englobando o tratamento de operações de manutenção, manipulação de erros e demais correções adversas, contratos de suporte, procedimentos de recuperação.