realizar, periodicamente, análises de riscos, com o objetivo de contemplar as mudanças nos requisitos de segurança da informação

não envolver a direção com a segurança da informação, tendo em vista que ela já possui diversas outras atribuições

descartar o inventário dos ativos, caso a organização possua

direcionar os funcionários apenas para o exercício de suas funções diárias; pois treinamentos em segurança da informação ou outros eventos relacionados devem ser evitados

conceder aos funcionários o acesso completo aos sistemas e à rede (intranet) da organização