a organização deve estabelecer, implementar e manter um processo, incluindo relatórios, investigações e tomada de ações, para determinar e gerenciar incidentes.

a organização não deve levar em consideração incidentes similares que tenham eventualmente ocorrido, uma vez que cada situação tem suas peculiaridades.

depois da determinação da causa raiz, devem ser tomadas ações corretivas no sentido de eliminar essa causa, independente da hierarquia de controles prevista nesta norma.

uma vez estabelecida a ação corretiva para eliminação da causa raiz, pode se dar por encerrado o processo de tratamento de incidentes.