정보기술 보안정책을 수립하고, 위험분석을 수행하였는가의 검토 필요성
조직의 정보자산에 대한 위험분석이 적정하게 수행되지 않은 경우, 예측하지 못한 보안 문제에 노출될 위험이 있으며, 조직 또는 상위의 보안정책과 도출된 시스템 보안 요건을 충족시키지 못하는 보안정책이 수립되는 경우, 정보화전략계획수립(ISP) 결과에 따른 후속 사업의 성공적인 수행에 위협 요인으로 작용할 수 있다.  \n따라서 조직의 정보자산에 대한 위험분석을 적절하게 수행하고, 정보 기술 보안 정책을 수립하였는지 확인하는 것이 필요하다.