papéis e responsabilidades pela segurança da informação devem ser definidos e alocados de acordo com os interesses dos setores operacionais.

funções conflitantes e áreas de responsabilidade conflitantes devem ser segregadas.

medidas de segurança devem ser implementadas somente para o trabalho presencial.

os ativos fora das instalações da organização não precisam ser protegidos.

ambientes de desenvolvimento, testes e produção não devem ser separados.