Caso o SGSI já esteja aprovado, a definição do contexto na gestão de riscos é opcional, pois, no SGSI, o propósito da gestão de risco inclui as diretrizes para implementação dos controles.

A definição do plano de tratamento de riscos e avaliação de riscos deve ser realizada na fase de execução do SGSI.

Na aplicação de controle de segurança, funções e áreas de responsabilidade devem ser realizadas de forma conjunta, pelas mesmas pessoas para reduzir as oportunidades de modificação.

De acordo com a norma em questão, as senhas devem ser modificadas no primeiro acesso ao sistema e devem ser incluídas em processos automáticos de acesso ao sistema, como os que utilizam macro e tokens.

Na gestão dos ativos, cujo objetivo principal é manter a proteção adequada dos ativos da organização, é importante que os principais ativos de informação sejam inventariados e atribuídos a um proprietário responsável que, por questão de segurança, não pode delegar a implementação dos controles.

Na implementação de segurança física e segurança do ambiente em uma organização, devem ser definidas áreas seguras para prevenir acessos físicos não autorizados, danos e interferências com as instalações e com as informações da organização. Deve ainda ser implantada uma área de recepção, de modo que o acesso a locais definidos como área seguras fiquem restritos somente ao pessoal da organização.

A organização deve prover os recursos necessários tanto no estabelecimento quanto na manutenção do SGSI, para assegurar o apoio dos procedimentos de segurança da informação aos requisitos de negócio, bem como o tratamento destinado aos requisitos legais e regulamentares e às obrigações contratuais de segurança da informação, conforme a necessidade exigida.

Um SGSI é projetado para assegurar a seleção de controles de segurança adequados para proteger os ativos de informação e propiciar confiança às partes envolvidas.

Na fase check, do modelo PDCA (plan, do, check, act), ocorre, além da monitoração e análise crítica do SGSI, a medição do desempenho de um processo frente à política, aos objetivos e à experiência prática do SGSI.

A avaliação de riscos, apesar de envolver a comparação do risco estimado com critérios de risco predefinidos para determinar a importância do risco em relação à segurança da informação, não faz parte da documentação do SGSI.