継続的な監視制御イニシアチブは費用がかかるため、リスクが最大レベルにある領域で使用する必要があります。これらの領域は、影響が大きく、発生頻度が高い領域です。厳格な IT セキュリティ対策を必要とする規制や法律は、リスクベースのアプローチで IT セキュリティを管理する IT セキュリティ ガバナンス構造を確立することを組織に要求することに焦点を当てているため、各組織はどの種類の制御を実装するかを決定します。
継続的な監視は必ずしも必要ではありません。緊急時対応計画などの対策は、インシデントがめったに発生しないが、発生するたびに大きな影響を与える場合に一般的に使用されます。継続的な監視が必要になる可能性は低いです。すべての電子商取引環境で、継続的な制御監視イニシアチブが必要なわけではありません。インシデントの影響が、この種のイニシアチブの実装をサポートするほど高くない電子商取引環境がいくつかあります。