 정보기술 보안정책과 위험분석 결과를 반영한 보안 개선모델이 도출되었는가의 검토 필요성
위험분석 결과와 정보기술 보안정책이 반영된 보안모델이 도출되지 않는 경우, 사용자가 제시한 보안 요건 또는 위험요인에 대한 대응방안이 누락되거나 보안정책에 위배되는 보안모델이 도출되어 이를 토대로 수립되어야 하는 보안솔루션의 선택 등 시스템 보안 구축계획이 적정하게 수행되는데 영향을 미칠 수 있다.  \n따라서 조직의 정보자원을 효과적으로 보호하기 위한 기술적, 물리적, 관리적 보안모델을 포함하는 보안개선 모델이 도출되었는지 확인하는 것이 필요하다.