Devem ser definidos níveis de sigilo para toda informação, apresentada a cada usuário.

A área de segurança da informação deve estar subordinada à área de Tecnologia da Informação.

Os documentos com as políticas de segurança da informação devem ser mantidos em sigilo, disponíveis apenas às áreas envolvidas e à alta diretoria da organização.

Deve haver o envolvimento da área de segurança da informação somente a partir das fases de implantação e de testes finais das novas ações de negócio da organização.

O executivo da área de segurança da informação deve participar do comitê (ou equivalente) que analisa os requisitos necessários para a implementação de futuros produtos e de serviços da organização.