Non trattare Governance delle policy come acquisto una tantum o casella. Collegalo al risultato — mantiene direttive approvate con responsabili, date di revisione ed eccezioni —, assegna responsabilità, misura copertura ed efficacia e aggiornalo quando cambiano minacce, sistemi o requisiti.

CIS Critical Security Controls v8: https://www.cisecurity.org/controls/v8