Fornece uma série de diretrizes e critérios para garantir a disponibilidade, integridade e confidencialidade da informação na organização.

Documenta uma análise de riscos em segurança da informação, bem como seus critérios de aceitação e tratamento ao risco.

Proporciona orientação da direção e apoio para a segurança da informação de acordo com os requisitos de negócio.

Considerável que contemple regulamentações, legislação e contratos.

Convém que sejam comunicadas e entendidas por todas as partes interessadas da organização.