A organização deve estabelecer, implementar e manter procedimento(s) para continuamente identificar perigos, avaliar riscos e determinar os controles necessários.

A organização deve identificar necessidades de treinamento associadas aos seus riscos a SSO e seu sistema de gestão de SSO. Porém, não cabe à organização prover treinamento ou tomar outra ação para atender a essas necessidades.

A organização deve analisar periodicamente e, quando necessário, revisar seus procedimentos de preparação e resposta a emergências, em particular após os testes periódicos e depois da ocorrência de situações de emergência.

A organização deve estabelecer, implementar e manter procedimento(s) para registrar, investigar e analisar incidentes de forma a determinar deficiências de SSO básicas e outros fatores que possam causar ou contribuir para a ocorrência de incidentes.