estabelecer controles criptográficos para serviços de tecnologia da informação que exijam autenticação.

aplicar mecanismos apropriados de registro e monitoração para habilitar a gravação das ações relevantes de segurança.

destruir o conteúdo de qualquer meio magnético, ainda que reutilizável, que não seja mais necessário, ou seja, retirado da organização.

conduzir análises críticas regulares dos softwares e dados dos sistemas que suportam processos críticos de negócio.

ativar medidas técnicas disponíveis nos sistemas específicos para garantir que o código móvel esteja sendo administrado.