Както при всеки вид бизнес дейност, информационната сигурност трябва да се наблюдава и периодично да се преоценява, за да се гарантира, че политиките продължават да бъдат подходящи и че контролите постигат предназначението си.
Политиките за информационна сигурност трябва периодично да се преразглеждат.