Executar ações corretivas e preventivas com base nos resultados de auditoria e análise crítica em busca de constante aprimoramento e ganho de eficiência. Implementação de melhorias identificadas e comunicação às partes interessadas de acordo com os objetivos pretendidos.

Implementação do SGSI com operação da política de segurança, controles, medidas, processos e procedimentos. Deve conter a formulação de um plano de tratamento de riscos, implementar controles, programas de conscientização e treinamento. Além disso nessa fase deve começar o efetivo gerenciamento das operações e recursos de SGSI e a pronta detecção de eventos de SI e resposta a incidentes.

Avaliação da eficiência e eficácia do sistema de gestão e apresentação de resultados. Comparação entre desenho alcançado e diretrizes definidas, valendo-se de métricas. Análise crítica de riscos, escopo e condução de auditorias internas em intervalos planejados. Atualização do plano de segurança da informação de acordo com os resultados do monitoramento e análise crítica.

A Gestão de Riscos de TI envolve a identificação, análise e classificação por prioridade de cada risco identificado levando em consideração o possível impacto e probabilidade de que seja explorado. Tudo o que gira em torno de TI pode contribuir para aumentar ou diminuir o risco por isso essa avaliação deve ocorrer de maneira contínua.

Deve existir um plano de resposta aos riscos que forem identificados com ações a serem tomadas para seu gerenciamento. Devem ser atribuídos papéis e responsabilidades sobre os perigos que forem detectados. Entre as possíveis ações a partir da identificação de um risco podemos citar:

Evitar: tomar ações que eliminem completamente o risco;

Mitigar: redução da probabilidade e ou do impacto da possível exploração do risco;

Transferir: envolver um terceiro que será responsabilizado pelo risco;

Aceitar: monitorar continuamente e estabelecer mecanismos de alerta e de resposta em caso de concretização.