Basert på risikovurderingen skal det vurderes hvilke tiltak som skal iverksettes for å redusere risikoen. Relevante tiltak omfatter blant annet:
- krav til tilgangsstyringen, inkl. logging og logganalyse, se også faktaark 15 om logging og logginnsyn (Scenario 1)
- tiltak for å sikre at ansatte er oppmerksom på at opplysningene må håndteres med skjerpet aktsomhet, herunder opplæring og tydelig merking i systemer av at en person er trusselutsatt (Scenario 2)
- sikring av at rutinemessige/automatiserte utsendinger kun skjer til oppdaterte adresser (Scenario 3)
- begrense mengden geolokaliserende informasjon i systemene og i kommunikasjon med den trusselutsatte. Bruk av ikke-lokaliserende adresser fra autorative kilder, som folkeregister/kontaktregister, anbefales (alle scenarier)
Tiltakene må vurderes for den enkelte kategori basert på risiko. Det innebærer at det i utgangspunktet ikke er nødvendig med like tiltak for fortrolig og strengt fortrolig adresse. Det må i alle tilfeller vurderes konkret i virksomheten hvilke tiltak som senker risikoen.
