Os processos de definição, implantação e gestão de políticas de segurança da informação devem ser aprovados pelo pessoal de nível operacional e devem se subordinar às normas e procedimentos de segurança vigentes na organização.