Digiturvatyön tulee olla riskilähtöistä, eli organisaation on kohdistettava katseensa kohtiin, joissa riskejä on eniten ja niitä saadaan pienennettyä merkittävästi järkevin panostuksin. Ensimmäinen tapa, jolla riskien hallintaa Digiturvakartan äärellä voi soveltaa, on määritellä itselle relevantit kartan osa-alueet ja valita tavoitetaso, mille kussakin osa-alueessa pyritään.

Monet tietoturvasertifikaatit ja tietoturvakonsultit suosittelevat täysin räätälöityä toimintatapaa, jossa ensin pyritään tunnistamaan riskejä ja sitten valitaan käytäntöjä niiden hallitsemiseksi. Meidän mielessämme tällainen ennakoiva riskienhallinta tulee mukaan vasta vähän myöhemmin, kun ensin on tehty perusteita ja opittu ymmärtämään omaa toimintaympäristöä digiturvan näkökulmasta - suojattavia tietoja, käytössä olevia resursseja ja osaamista sekä jo nyt sovellettavia käytäntöjä.

Digiturvakartan äärellä ensimäiset digiturvatavoitteet asetetaan valitsemalla fokukseen tietyt osa-alueet, eli kartalla näkyvät laatikot, sekä tavoitetasot, joille pyritään. Pidemmälle pyrittäesä jokaisen organisaation tulee toki muokata suunnitelmaa omakseen tarkemminkin valitsemalla yksittäisiä työelementtejä mukaan tai pois omasta suunnitelmasta, ei ainoastaan edetä valmiiden tasojen perusteella. Tämä onnistuu yleensä luonnollisesti sen jälkeen, kun työssä ollaan päästy vauhtiin.