После того, как вы установили, что надо защищать, и оценили риски, которым подвергаются ценности, необходимо решить, как реализовать меры безопасности, с помощью которых будут защищаться ценности. Механизмы защиты должны быть выбраны таким образом, чтобы они были адекватны угрозам, выявленным при анализе риска, и реализовывали безопасность наиболее эффективным образом. Не имеет смысла тратить колоссальную сумму денег на защиту, если опасности практически нет.

3.3.1 Выбор правильного набора мер безопасности

Выбранные меры безопасности представляют собой основу ваших ПРД. Они являются первой и основной линией обороны при защите ваших ценностей. Поэтому важно быть уверенным, что меры безопасности, которые вы выбрали, составляют правильный набор. Если основная угроза вашей АС - внешние злоумышленники, вероятно не имеет смысла использовать биометрические устройства для аутентификации ваших основных пользователей. С другой стороны, если основной угрозой является несанкционированное использование вычислительных ресурсов вашими пользователями, вы вероятно захотите использовать строгие автоматизированные процедуры регистрации пользователей.

3.3.2 Использование здравого смысла

Здравый смысл - самое подходящее средство, которое может быть использовано при выработке ваших ПРД. Тщательно разработанные схемы и механизмы защиты впечатляют, и они должны иметься, но стоит ли вкладывать деньги и время в тщательно разработанные схемы, если забыты простые меры безопасности. Например, независимо от того, насколько тщательно разработана система, которую вы используете для безопасности, один-единственный пользователь с плохим паролем может сделать вашу АС открытой для атаки.