The organization must implement and enforce policies that prevent involvement in activities endangering cybersecurity, including:

• Prohibiting the creation of websites, communication groups, or the disclosure of information related to illegal or criminal activities, such as fraud, crime methods, or the production and sale of prohibited or controlled goods.
• Prohibiting the development, distribution, or use of tools intended for unauthorized access, network disruption, or data theft.
• Ensuring the organization does not provide technical, financial, advertising, or other support to individuals or entities engaged in malicious cyber activities.
• Maintaining and communicating a zero-tolerance stance on cybercrime to all personnel and stakeholders.
• Providing regular training so staff understand their responsibilities, can recognize misuse, and know how to report concerns.

Organisaation on tunnistettava verkkosivustojen tyypit, joihin henkilöstöllä tulisi ja toisaalta ei tulisi olla pääsyä.

Organisaation on harkittava seuraavien sivustotyyppien käytön estämistä (joko automaattisesti tai muilla tavoin):

• tiedostojen lataustoiminnon sisältävät verkkosivustot, ellei tätä ole tiettyä liiketoimintatarvetta varten sallittu
• tunnetut tai epäillyt haitalliset verkkosivustot (esim. haittaohjelmia jakavat tai tietojenkalastelusisältöä sisältävät)
• komento- ja ohjauspalvelimet
• laitonta sisältöä jakavat verkkosivustot