Convém que a alta administração da empresa esteja comprometida com a implantação, mas não é necessário aprovar-se o documento da política de segurança.

Convém que, de acordo com um processo de revisão específico, a política possua um gestor que seja responsável por sua manutenção e análise crítica.

Convém que as responsabilidades gerais e específicas na gestão da segurança da informação sejam definidas, excluindo-se o registro dos incidentes de segurança.

Entre outras informações, convém incluir-se no documento de política uma definição de segurança da informação e a importância da segurança como mecanismo que desabilita o compartilhamento da informação.