Organisaatio on määritellyt menettelyt tietoturvariskien arvioimiseksi ja käsittelemiseksi. Menettelyihin sisältyy ainakin:

• Riskien tunnistamismenetelmät
• Riskianalyysimenetelmät
• Riskien arviointiperusteet (vaikutus ja todennäköisyys).
• Riskien priorisointi, käsittelyvaihtoehdot ja valvontatehtävien määrittely.
• riskien hyväksymiskriteerit
• Prosessin toteuttamissykli, resursointi ja vastuut
• Tulokset olisi sisällytettävä organisaation riskinhallintaprosessiin.

Tehtävän omistaja tarkistaa säännöllisesti, että menettely on selkeä ja tuottaa johdonmukaisia tuloksia.

Organisaation, joka harjoittaa turvallisuuden kannalta arkaluonteista toimintaa, on arvioitava suojaavan turvallisuuden tarve dokumentoidun analyysin avulla. Turvallisuuden kannalta arkaluonteisiin toimintoihin kuuluu turvaluokiteltujen tietojen käsittely tai muiden Ruotsin turvallisuuden kannalta tärkeiden turvallisuuden kannalta arkaluonteisten toimintojen suorittaminen. Turvallisuussuojausanalyysissä on vastattava seuraaviin kysymyksiin:

• Mitä olisi suojattava? Käsitteleekö yritys turvaluokiteltuja tietoja? Onko olemassa Ruotsin turvallisuuden kannalta tärkeitä tiloja, esineitä, järjestelmiä, omaisuutta ja muuta omaisuutta?
• Mitä vastaan ne olisi suojattava? Mitä turvallisuusuhkia on olemassa turvasuojalain soveltamisalaan kuuluvia toimintoja vastaan? Mitä haavoittuvuuksia yrityksessä on?
• Miten se olisi suojattava? Mitä turvasuojaustoimenpiteitä on tarpeen toteuttaa havaittujen haavoittuvuuksien perusteella? Turvallisuussuojatoimenpiteet voidaan jakaa henkilöstöturvallisuuteen, fyysiseen turvallisuuteen ja tietoturvallisuuteen.

Valmis analyysi on dokumentoitava, ja sen tuloksena on laadittava suunnitelma, jossa perustellaan kukin turvatoimenpide ja määritellään vastuut ja aikataulut. Analyysissä eritellyt turvatoimenpiteet on pantava täytäntöön, ja niihin voi sisältyä fyysisiä kulunvalvontatoimenpiteitä, turvallisia tietojenkäsittelykäytäntöjä tai henkilöstöön liittyviä menettelyjä tunnistetuista riskeistä riippuen.

On myös ilmoitettava, milloin toimenpiteet on toteutettava ja mikä toiminto niistä vastaa.

Organisaation on otettava käyttöön ja ylläpidettävä dokumentoitua prosessia turvallisuuteen liittyvien vaaratilanteiden raportointia, hallintaa ja niistä oppimista varten sekä suojatun turvallisuustilanteen jatkuvaa seurantaa varten.

Prosessilla on varmistettava turvatoimien jatkuva valvonta, jotta voidaan varmistaa, että ne pysyvät tehokkaina kehittyviä uhkia ja toiminnallisia muutoksia vastaan. Siinä on myös annettava selkeät ja helposti saatavilla olevat ohjeet koko henkilöstölle vaaratilanteiden käsittelystä. Dokumentoidussa prosessissa on määriteltävä vähintään seuraavat seikat:

• Keskeiset toiminnot ja indikaattorit, joita seurataan säännöllisesti (esim. käytäntöjen noudattaminen, käyttöoikeuslokit, järjestelmämuutokset).
• Mitä raportoidaan: millaisista tapahtumista on raportoitava (esim. tietoturvaloukkaukset, epäilyttävä toiminta).
• Raportointimenettely, mukaan luettuna raportointi sisäisille ja ulkoisille viranomaisille.
• Miten raportoidut tapahtumat kirjataan, tutkitaan ja käytetään turvatoimien parantamiseen.