Както при всеки вид бизнес дейност, информационната сигурност трябва да се наблюдава и периодично да се преоценява, за да се гарантира, че политиките продължават да бъдат подходящи и че контролите постигат предназначението си.
Веднъж установени, политиките за информационна сигурност остават валидни.