as políticas definidas pela alta gestão e pelo conselho de administração relacionadas à organização como um todo.

os requisitos da organização para o seu sistema de gestão da segurança da informação e os requisitos daquela norma.

as diretrizes e normas da entidade reguladora da sua atividade negocial.

os objetivos e as metas da organização para o planejamento estratégico da área de tecnologia da informação.

os padrões verificados em benchmarks e melhores práticas comumente aceitas no seu segmento de atuação.