Convém que apenas controles que tenham mais do que um efeito insignificante sobre o risco sejam designados como "necessários".

Se um controle personalizado for definido, não convém que a redação do controle descreva com exatidão e clareza o que é o controle e como ele opera.

Se o controle estiver fora da tolerância, o controle está operando efetivamente o suficiente para gerenciar o risco identificado.

A determinação dos controles não pode incluir novos controles ainda não implementados, ou pode incluir o uso de controles existentes na organização.

Se um controle for usado para outros fins que não seja apenas a gestão de riscos de segurança da informação, não convém tomar cuidado para assegurar que o controle seja gerenciado para alcançar os objetivos de segurança da informação, bem como os objetivos não relacionados à segurança da informação.