• 1) 선택한 정보 보안 위험 처리 옵션을 구현하는 데 필요한 모든 통제를 결정합니다.
• 2) 결정된 통제를 부록 A의 통제와 비교하고 필요한 컨트롤이 생략되지 않았는지 확인합니다.
• 3) 적용성 보고서를 작성합니다. (필요한 통제와 통제가 구현되었는 지의 여부가 포함)

각 통제들은 5개의 속성으로 연결되어 있고 이 속성은 다양한 통제를 필터링, 정렬, 표시하는데 사용 할 수 있습니다. 각 속성은 다음과 같습니다.

• 1) 제어 유형 : 정보 보안 사고 발생과 관련하여 위험을 수정하는 시기와 방법의 관점에서 통제를 보는 특성.
• 속성 값 - 예방(Preventive), 탐지(Detective), 교정(Corrective)
• • 2) 정보 보안 속성 : 통제가 정보의 어떤 특성을 보존하는데 기여하는 지의 관점.
  • 속성 값 - 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)
  • • 3) 사이버 보안 개념 : ISO/IEC TS 27110에 설명된 사이버 보안 프레임워크와 연관시키는 관점.
    • 속성 값 - 식별(Identify), 보호(Protect), 감지(Detect), 응답(Respond), 복구(Recover)
    • • 4) 운영 : 정보보안 능력에 대한 실무자의 관점에서 통제를 보는 속성.
    • 속성 값 - 통치(Governance), 자산 관리(Asset_management), 정보 보호(Information_protection), 인적 자원 보안  (Human_resource_security), 물리적 보안(Physical_security), 시스템 및 네트워크 보안(System_and_network_ security), 애플리케이션 보안(Application_security), 보안 구성(Secure_configuration), 신원 및 접근 관리(Identity_and_access_management), 위협 및 취약성 관리(Threat_and_vulnerability_management), 연속성(Continuity), 공급업체 관계 보안(Supplier_relationships_security), 법규 준수(Legal_and_ compliance), 정보 보안 이벤트 관리 및 정보(Information_security_event_management), 정보 보안 보증 (Information_security_assurance)    
    • 
      
      • 5) 보안 도메인 : 4가지 정보 보안 도메인의 관점에서 제어를 볼 수 있는 속성으로 각 도메인은 아래와 같이 이루어져 있다.
      • - 거버넌스 및 생태계(Governance and Ecosystem) : 정보 시스템 보안 거버넌스 및 위험 관리, 에코 시스템 사이버 보안 관리
      • - 보호(Protection) : IT 보안 건설, IT 보안 관리, ID 및 액세스 관리, IT 보안 유지 관리, 물리적 및 환경적 보안
      • - 방어(Defence) : 탐지, 컴퓨터 보안 사고 관리
      • - 회복력(Resilience) : 운영의 연속성, 위기 관리