a.根據本公司業務信息安全的特點、法律法規要求，建立風險評估程序，確定風險接受準則。定期進行風險評估，以識別本公司風險的變化。本公司或環境發生重大變化時，隨時評估風險。 應根據風險評估的結果，采取相應措施，降低潛在風險。
b.在日常企業生產和管理中，對信息安全予以重視，全面識別和分析本公司信息資產，系統考慮企業信息系統薄弱點、可能存在的威脅，考慮成本、利益、風險的綜合平衡，對資產進行分類保護，以適宜的成本達到系統保護的要求。
c.建立健全信息安全監督和保證體系，明確各級、各崗位的信息安全責任，以人為本，堅持全員、全方位、全過程信息安全管理。通過測量和監控，持續改進，保證信息安全管理體系的有效運行，做到制度/規范執行有記錄、記錄記載可追溯， 最終保障企業生產、經營、管理和服務的持續安全，實現企業發展目標。
