Групите съсредоточиха усилията си върху повишаване на разбирането на всички за рисковете, свързани с информацията на организацията и свързаните с тях политики и контроли, въведени за смекчаване на тези рискове.
Беше решено, че групите не могат да повлияят на осъзнаването на рисковете, така че вместо това те се фокусираха директно върху смекчаването на рисковете.