todos os ativos associados com os recursos de processamento da informação devem ter um proprietário, contudo a responsabilidade sobre este pode ser delegada para um custodiante.

a segurança deve ser mantida na troca de informações apenas entre a organização e quaisquer entidades externas.

em gestão da continuidade do negócio, convém identificar os eventos que podem causar interrupções aos processos de negócio, bem como o impacto de tais interrupções e as consequências para a segurança de informação.

convém que seja de responsabilidade do proprietário do ativo definir a sua classificação, mas, para preservar a segurança, essa classificação não deve ser alterada ao longo do tempo.

todos os usuários devem ter um identificador para uso pessoal e qualquer técnica de autenticação deve ser escolhida para validar o identificador.