Com relação à aquisição, desenvolvimento e manutenção de...

os requisitos relacionados à segurança da informação sejam incluídos nos requisitos para novos sistemas de informação ou melhorias dos sistemas de informação existentes.

as mudanças em sistemas sejam controladas utilizando procedimentos informais de controle de mudança.

modificações em pacotes de software sejam encorajadas e estejam alinhadas às mudanças necessárias em ambiente controlado.

programas de testes de aceitação e critérios relacionados sejam estabelecidos para novos sistemas de informação, excluindo-se atualizações e novas versões.

os testes das funcionalidades de segurança sejam realizados somente ao final do processo de desenvolvimento de sistemas.