Nem toda organização tem a obrigação de proteger as informações pessoais de seus funcionários, colaboradores e clientes; isso é prática regulamentada por norma de órgão de controle.

A conformidade com segurança da informação requer constantemente fluxo de informações entre países distintos e com legislações distintas.

Normalmente, a definição e documentação dos controles envolvidos com a conformidade são independentes e não fazem parte da política de segurança para se preservar capacidade de auditoria.

No que se refere ao uso de software de código aberto, os termos e condições de utilização devem ser desconsiderados, segundo o que preconizam as boas práticas de gestão.

A verificação da conformidade técnica é um processo manual; e esse processo não é passível de automatização.