não precisa ser testado antes que se torne realmente necessário, pois testes por si só implicam em riscos aos ativos de informação.

deve ser elaborado com base em premissas departamentais particulares do que é considerado importante ou não.

prioriza e estabelece as ações de implantação como resultado de uma ampla análise de risco.

define uma ação de continuidade imediata e temporária.

precisa ser contínuo, evoluir com a organização, mas não precisa ser gerido sob a responsabilidade de alguém como os processos organizacionais.