Usualmente en las organizaciones se tienen implantados una serie de controles que supuestamente debieran mitigar el riesgo. Estos controles se mantienen en la empresa y muchas veces se convierten en parte de los repertorios de estrategias institucionalizadas para el tratamiento del riesgo.

En muchas de las organizaciones las decisiones pertinentes a la problemática de seguridad de la información, no basan sus decisiones en datos cuantificables, ni confiables. Pareciera que las decisiones están basadas en las experiencias de la gerencia. Es fundamental que la empresa pueda implantar indicadores para obtener información sobre la efectividad de los controles instaurados y así se pueda con la debida antelación tomar las acciones correctivas de lugar. El ISO 27001:2005 exige el uso de indicadores.

Imaginemos una interrupción en las operaciones de la empresa. Simplemente no se puede operar. Los procesos vitales han sido afectados. No es posible entregar el producto en los acuerdos convenidos con los clientes y por un tiempo no se puede continuar siendo proveedor confiable. Las estadísticas plantean que una empresa que deja de operar por espacio de diez días consecutivos, jamás se recupera.

No sirven de mucho los planes estratégicos, ni los modelos de investigación de mercados, ni los sistemas de aseguramiento de calidad, si no se tiene una metodología implantada que asegure a la cadena de suministros continuidad en el funcionamiento si un desastre se presentara.

El estándar ISO 27001:2005 "Sistema de Gestión de Seguridad de Información" en el anexo A.14 lo exige. Después de la tragedia del 11 de Septiembre se ha popularizado y se ha convertido en una exigencia mundial que las empresas tengan implantado un business continuity plan que permita asegurar a terceros que son proveedores confiables.

The purpose of information security is to ensure business continuity and minimize business damage by preventing and minimizing the impact of security incidents. Information security management enables information to be shared, while ensuring the protection of information and all other assets within the scope of the system.