重要なビジネスシステムに関わるアウトソーシング契約の重要な要件は、プロバイダーのセキュリティ管理策について、組織が独立したセキュリティレビューを実施する権利を確立することです。法的拘束力のあるデータ保護契約も重要ですが、選択肢Aよりも二次的なものです。選択肢Aは、システムに適用されている実際のセキュリティ管理策の検証を許可し、より効果的なリスク管理ツールとなります。組織とプロバイダー間のリンクのネットワーク暗号化は必須要件となる可能性がありますが、選択肢Aにも含まれるため、それほど重要ではありません。システムに関連する管理策について独立したセキュリティレビューを実施する権利が契約上困難である場合、アウトソーシングプロバイダーと共同でシステムの共同リスク評価を実施することが妥協策となる可能性があります。

運用レベルの手順は、それを使用する運用部門によって、あるいはその部門の関与を得て策定されなければなりません。これにより、手順の機能と正確性が確保されます。エンドユーザーや法律顧問は通常、手順策定には関与しません。監査管理部門は通常、情報セキュリティ運用を監督しますが、手順レベルには関与しません。