Neste nível, os processos de segurança da informação são medidos, avaliados e otimizados. Há uma política de segurança revisada e atualizada, bem como um plano de segurança que é monitorado e ajustado de acordo com os resultados. Os incidentes de segurança são reduzidos e controlados, com ações de melhoria baseadas em dados e análises estatísticas. A segurança da informação é tratada como um processo de melhoria contínua e está alinhada com os requisitos e as expectativas dos clientes e das partes interessadas.