focar na tecnologia, sem considerar o contexto da organização.

envolver a alta administração e definir políticas claras de segurança da informação.

implementar controles de segurança sem a necessidade de avaliação de riscos.

evitar o monitoramento contínuo e a avaliação de desempenho do SGSI.

ignorar a necessidade de melhorias contínuas após a implementação inicial.