説明
一連のセキュリティ目標、プロセス、方法、ツール、および技術が一緒になってセキュリティ戦略を構成します。
ITとビジネスガバナンスは絡み合っていますが、ビジネスコントロールはセキュリティ戦略に含まれていない可能性があります。予算は通常、情報セキュリティ戦略には含まれません。さらに、情報セキュリティ戦略が策定および実装されるまで、特定のツールは特定されず、特定のコスト見積もりは利用できません。ファイアウォールルールセット、ネットワークデフォルト、および侵入検知システム（IDS）設定は、定期的に変更される可能性のある技術的な詳細であり、戦略ドキュメントに適したコンテンツではありません。

説明
影響の可視性は、組織へのリスクをタイムリーに管理するため、最良の手段です。
発生の可能性とインシデントの頻度はそれほど重要ではありません。管理を緩和することは、インシデント報告の決定要因ではありません。

説明
リスク管理戦略を定義する一方で、組織の目的とリスク食欲を分析し、この分析に基づいてリスク管理フレームワークを定義する必要があります。既知のリスクを受け入れる組織もあれば、リスクを軽減するために軽減制御に投資して適用する組織もあります。リスク評価基準はこのフレームワークの一部になりますが、それは適切な分析の後でのみです。ITアーキテクチャの複雑さと企業のディザスタリカバリ計画は、戦略の定義よりもリスクの評価に直接関係しています。