Essa norma evita explicitamente a definição de atividades que determinam o status da segurança da informação da organização, deixando essa atividade sob observação da alta administração da organização.