组织应识别已采取的控制措施，并确认其有效性，保持有效的安全控制，取消不合适的安全控制，避免重复控制，浪费工作时间和费用。

另外，在风险评估之后选择的安全控制与现有的和计划的控制应保持一致。

安全控制可以分为预防性控制措施和保护性措施，预防性措施可以降低威胁发生的可能性和减少安全薄弱点，而保护性措施可以减少因威胁发生所造成的影响，例如安排灾难恢复计划、参加商业保险等。安全控制可采用的具体方法如下：

□ 避免风险产生；

□ 转移风险；

□ 降低威胁事件发生概率；

□ 降低薄弱点出现的概率；

□ 降低事件的潜在影响。