自社の情報リスク（注）を適切に把握し、そのリスクレベルに応じた情報セキュリティ対策計画を立案します。
（注）情報リスク：企業の持つ情報が破壊、改ざん、漏洩、または誤用された場合に発生する損害と、その発生確率のこと

情報セキュリティ対策計画に基づき、必要な対策を順次実行することで、情報リスクを適切なレベルにコントロールします。

リスクが適切にコントロールされているかどうかを定期的にチェックし、課題が見つかればこれを改善していきます。