devem ser tratadas a prevenção sobre o acesso físico não autorizado, as instalações e as informações dessa organização

deve ser tratado o controle do acesso à informação, com base nos requisitos de negócio, além da segurança da informação

deve ser tratada a garantia de operações seguras e corretas dos recursos de processamento da informação

deve ser tratada a manutenção da proteção adequada e segura dos ativos dessa organização